漏洞简介

天地伟业Easy7是一款用于视频监控集中管理的综合性软件平台。

在该系统的 /Easy7/rest/inquestRoom/isHashCameraAuth 接口中，存在一处SQL注入漏洞。由于该接口未能对用户输入的参数进行充分的过滤与校验，攻击者可通过构造包含恶意SQL语句的HTTP请求，在无需任何认证的情况下，利用该接口执行任意SQL指令。成功利用该漏洞后，攻击者能够绕过业务逻辑限制，窃取数据库中的敏感信息（如用户凭证、设备配置等），甚至对数据库内容进行增删改操作，从而导致系统数据泄露或完整性破坏。

影响版本

fofa语法

body="/Easy7/apps/WebService/LogIn.jsp" || body="Easy7/VideoLib.EXE" || body="/Easy7/index.html" || (body="<img src=\"./images/ico/Easy7_logo_transparent.png") && title="平台"

漏洞分析

首先，该系统基于Spring 3.0，比较古老且WEB-INF/web.xml里没有配置任何filter进行权限校验，因此绝大部分接口都是可以直接访问的。

再来看本次的漏洞接口 /Easy7/rest/inquestRoom/isHashCameraAuth 对应的 isHashCameraAuth() 方法实现逻辑

@Controller
@RequestMapping({"/inquestRoom"})
public class CLS_REST_InquestRoom {
    private static final Logger log = LoggerFactory.getLogger(CLS_REST_InquestRoom.class);
    @Resource(
        name = "boInquestRoom"
    )
    private CLS_BO_InquestRoom boInquestRoom;
    @RequestMapping({"/isHashCameraAuth"})

    @RequestMapping({"isHashCameraAuth"})
    public void isHashCameraAuth(HttpServletRequest request, HttpServletResponse response, String cameraId) throws Exception {
        response.getWriter().print(JSONObject.fromObject(this.boInquestRoom.isHashCameraAuth(cameraId)));
    }

参数对象roomId被直接带入boInquestRoom.isHashCameraAuth方法

public CLS_VO_Result isHashCameraAuth(String cameraId) {
    CLS_VO_Result result = new CLS_VO_Result();
    if (StringUtils.isEmpty(cameraId)) {
        result.setRet(-7);
        return result;
    } else {
        int count = this.daoInquestRoom.isHashCameraAuth(cameraId);
        if (count > 0) {
            result.setRet(-16);
        } else {
            result.setRet(0);
        }

        return result;
    }
}

继续跟进 daoInquestRoom.isHashCameraAuth(roomId)方法

最终在dao层，参数roomId是未经任何过滤或校验就被直接拼接进 sql.append("\tAND CAMERA.S_CAMERA_ID = '" + cameraId + "'"); SQL语句中执行，从而造成SQL注入漏洞。

漏洞复现

POST /Easy7/rest/inquestRoom/isHashCameraAuth HTTP/1.1
Host: easy7.mrxn.net
Content-Type: application/x-www-form-urlencoded

cameraId=SQLI_POC

成功延时5秒