勤科人力资源软件sql注入 | wooyun-2015-0154984

漏洞概要关注数(24) 关注此漏洞

缺陷编号：

wooyun-2015-0154984

漏洞标题：

勤科人力资源软件sql注入

漏洞详情

披露状态：

2015-11-23：积极联系厂商并且等待厂商认领中，细节不对外公开
2016-01-11：厂商已经主动忽略漏洞，细节向公众公开

简要描述：

某通用性人力资源软件sql注入

详细说明：

北京勤科科技有限公司是一家致力于企业管理信息化的高新技术企业，公司2002年注册在北京海淀中关村科技园，是整合客户管理咨询、提供培训和软件产品实现一体化解决方案的企业。

公司在深圳，上海有自己独立的办公室，在全国各地都有自己的运营中心。作为国内软件行业成长性最好的公司之一，公司在通讯、电子、电力、能源、制造、建筑、制造业、公用事业，政府部门等行业有广泛的客户群体。公司目标是做中国本土最有价值的独立软件和信息化咨询服务提供商。
在整合数家管理咨询公司历年研究成果，兼收并蓄国内外优秀人力资源管理思想和数百家典型用户信息化解决方案基础上，经过一年多潜心钻研，研发了这款适合中国企业特色的人力资源管理信息化解决方案。公司主导产品GT人力资源管理系统。
客户案例：

孚日股份集团有限公司
鲁泰纺织股份有限公司
皇明太阳能集团有限公司
中钢集团有限公司
哈尔滨啤酒集团
中科科仪有限公司
东风本田有限公司
东风汽车有限公司总装配厂
华盛齐力铝业股份有限公司
东风汽车车桥有限公司
北信源软件股份有限公司
南开创元软件科技有限公司
北京嘉和科技有限公司
ADA CELL WORKS

注入点：以皇明太阳能为例，登陆处password参数：

POST /ajax/_Default,App_Web_tz6t9jof.ashx?_method=UserLogin&_session=rw HTTP/1.1
Host: **.**.**.**
User-Agent: Mozilla/5.0 rv:42.0) Gecko/20100101 Firefox/42.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://**.**.**.**/
Content-Length: 45
Content-Type: text/plain; charset=UTF-8
Cookie: **********
loginUserName=***********; loginType=1
Connection: keep-alive
Pragma: no-cache
Cache-Control: no-cache
UserName=admin
PassWord=12345
BPers_Id=true

密码为一个单引号时，报错null

密码为两个单引号是，提示无效的用户名或密码

丢入sqlmap，

当前数据库及当前用户(sa)

登陆系统后截图：

再举一个例子：北京信息职业技术学院http://**.**.**.**:1000

登陆后：工资情况

漏洞证明：

孚日股份集团有限公司
鲁泰纺织股份有限公司
皇明太阳能集团有限公司
中钢集团有限公司
哈尔滨啤酒集团
中科科仪有限公司
东风本田有限公司
东风汽车有限公司总装配厂
华盛齐力铝业股份有限公司
东风汽车车桥有限公司
北信源软件股份有限公司
南开创元软件科技有限公司
北京嘉和科技有限公司
ADA CELL WORKS

注入点：以皇明太阳能为例，登陆处password参数：

POST /ajax/_Default,App_Web_tz6t9jof.ashx?_method=UserLogin&_session=rw HTTP/1.1
Host: **.**.**.**
User-Agent: Mozilla/5.0 rv:42.0) Gecko/20100101 Firefox/42.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://**.**.**.**/
Content-Length: 45
Content-Type: text/plain; charset=UTF-8
Cookie: **********
loginUserName=***********; loginType=1
Connection: keep-alive
Pragma: no-cache
Cache-Control: no-cache
UserName=admin
PassWord=12345
BPers_Id=true

密码为一个单引号时，报错null

密码为两个单引号是，提示无效的用户名或密码

丢入sqlmap，

当前数据库及当前用户(sa)

登陆系统后截图：

再举一个例子：http://**.**.**.**:1000

登陆后：工资情况

修复方案：

你们更懂

版权声明：转载请注明来源路人甲@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

WooYun.org

漏洞概要 关注数(24) 关注此漏洞