用友NC6.5 importPmlSQL注入漏洞分析与复现

l 系统：Winserver2008R

l 数据库：Oracle11G

l JDK：java 1.7.0_51

l 复现版本：用友NC6.5

Jar包所在位置：

moduleswebsmlibpubwebsm_pmngLevel-1.jar!

类方法代码位置：

ncuapportalactionPortalPageManagerAction.class

可以看到第218行代码：

从请求包获取“billitem”参数值后，除了判断值是否为“null”之外，并没有其它的过滤限制操作。

随后第238行代码：

直接把“billitem”追加到“where”字符序列中。

最后在第243行代码把where.tostring作为参数，

调用了

PortalServiceUtil.getPageQryService().getPagesByCondition()方法。

追入看到该方法详细代码如下：

其中又调用了PtBaseDAO的retrieveByClause()方法：

通过this.buildSql构建好SQL语句后，使用executeQuery()方法进行查询操作。在这些流程中也没有发现过滤危险函数或字符的操作。

纵观全流程，都没有对客户端输入的“billitem”数据做过滤以及限制，直接就拼接到SQL语句中并执行它，导致了SQL注入漏洞。

Sqlmap进行测试，其测试结果显示有时间盲注：

构造的数据包以及结果如下：

从结果看到，成功延迟5秒。