用友漏洞分析+复现-环境搭建
代码获取略
环境部署
OS: Server 2022DB: 08R2
步骤
解压获取的代码，获得如下目录
解压NC6.5到任意目录
双击setup后安装过程略
装完后配置数据库初始化USE mastergoIF DB_ID (N'NC65') IS NOT NULLDROP DATABASE [NC65]goCREATE DATABASE [NC65]goALTER DATABASE [NC65] ADD FILEGROUP [NNC_DATA01]goALTER DATABASE [NC65] ADD FILEGROUP [NNC_DATA02]goALTER DATABASE [NC65] ADD FILEGROUP [NNC_DATA03]goALTER DATABASE [NC65] ADD FILEGROUP [NNC_INDEX01]goALTER DATABASE [NC65] ADD FILEGROUP [NNC_INDEX02]goALTER DATABASE [NC65] ADD FILEGROUP [NNC_INDEX03]goALTER D ...
zfaka第二处注入
zfaka在安装的时候会新建一个测试帐号[email protected]，密码123456
在文件application/modules/Member/controllers/Profiles.php，profilesajaxAction方法第53行附近存在注入
public function profilesajaxAction() { if ($this->login==FALSE AND !$this->userid) { $data = array('code' => 1000, 'msg' => '请登录'); Helper::response($data); } $nickname = $this->getPost('nickname',false); $qq = $this->getPost('qq',false); $tag = $this-> ...
zfaka注入分析
zfaka官方于7月11日发布了补丁，修复了一处sql注入，简单记录下分析过程
0x01补丁补丁显示修改了application/function/F_Network.php文件，该文件的getClientIP函数使用了网络上通用遍历XFF等header头获取真实IP的方法,但是获取完XFF后根据,截断获取第一个值后直接返回IP
0x02 分析全局搜索下调用该函数的位置，发现前台的application/modules/Product/controllers/Order.php文件和application/modules/Product/controllers/Query.php调用了该函数，对应功能为下单和订单查询功能
进一步确认后为application/modules/Product/controllers/Query.php第151行为存在漏洞的代码
0x03 动态调试对151行下断点进行调试
找到对应功能
成功断下，单步跟入
发现在application/library/Core/Model.php中的Where方法对orderid 、isdelete 、 ip ...
科迈RAS 多个安全漏洞
应急时碰到的一套系统，简单记录下
0x01 硬编码问题科迈RAS4.0在安装时会创建2个管理员账户RAS_admin、RASCOM，这两个账户硬编码了2组密码，
账户名
密码
RASCOM
1A2b3C4d56.
RAS_admin
R1a2b3c4d56.
这就导致如果机器开了RDP，那么可以通过这两组帐密直接登录
0x02 SQL注入问题审计的时候发现这套源码通过COM组件形式调用的SQL语句，IDA里看到均为直接拼接，没有做过滤
Server/CmxCheckBind.php
python3 sqlmap.py -u "http://10.100.100.133:8088/Server/CmxCheckBind.php?a=1&b=2&c=3&d=4&from=5" --level 5 --risk 3
Server/CmxBindMachine.php
python3 sqlmap.py -u "http://10.100.100.133:8088/Server/Cmx ...
金山终端安全系统V9安全问题
SQL注入文件inter/update_software_info.php
<?php//客户端显示数据require_once "./use_db.php";require_once "./common/functions.php";$return=array();$return["nResult"] =0;$where='where 1=1';if (!is_null($_POST['type']) and $_POST['type'] !="") { $id=$_POST['type']; $where .=" and type=$id ";}if (!is_null($_POST['key'])) { $keyname=$_POST['key']; $where .=" and keyname ...
金山V8+多个漏洞
SQL注入inter/handler_get_set_data/set_sc_count_online_setup_data_cmd.php
函数set_sc_count_online_setup_data_cmd
function set_sc_count_online_setup_data_cmd($para) { global $logHandler, $mysqlDB;// $logHandler->LogError('set_sc_count_online_setup_data_cmd'); $keyData = array("client","server","scid"); $check = checkParam($keyData,$para,$logHandler); if ($check !== true) return false; $SCID= $para['scid']; $data_type=' ...
