漏洞简介

天地伟业Easy7是一款用于视频监控管理的软件系统。

该系统的 /Easy7/rest/workbook/queryDataByTypeEx 接口存在SQL注入漏洞，攻击者可以通过构造恶意请求执行任意SQL语句，可能导致敏感信息泄露或数据库被篡改。

影响版本

fofa语法

body="/Easy7/apps/WebService/LogIn.jsp" || body="Easy7/VideoLib.EXE" || body="/Easy7/index.html" || (body="<img src=\"./images/ico/Easy7_logo_transparent.png") && title="平台"

漏洞分析

首先，该系统基于Spring 3.0，比较古老且WEB-INF/web.xml里没有配置任何filter进行权限校验，因此绝大部分接口都是可以直接访问的。

再来看本次的漏洞接口 /Easy7/rest/workbook/queryDataByTypeEx 对应的 queryDataByTypeEx() 方法实现逻辑

@Controller
@RequestMapping({"/workbook"})
public class CLS_REST_WorkBook {
    @Resource(
        name = "boWorkBook"
    )
    private CLS_BO_WorkBook boWorkBook;

    @RequestMapping({"/queryDataByTypeEx"})
    public void queryDataByTypeEx(HttpServletRequest req, HttpServletResponse resp, CLS_VO_WorkBookPageEx voPage) throws IOException {
        resp.getWriter().print(JSONObject.fromObject(this.boWorkBook.queryDataByTypeEx(voPage)));
    }

参数对象voPage被直接带入boWorkBook.queryDataByTypeEx方法

@Transactional(
    propagation = Propagation.REQUIRED
)
public CLS_VO_Result queryDataByTypeEx(CLS_VO_WorkBookPageEx voPage) throws UnsupportedEncodingException {
    return this.daoWorkBook.queryDataByTypeEx(voPage.getTabname());
}

继续跟进 daoWorkBook.queryDataByTypeEx(voPage.getTabname())方法

最终在dao层，参数tabname是未经任何过滤或校验直接拼接在SQL语句中执行，从而造成SQL注入漏洞。

漏洞复现

POST /Easy7/rest/workbook/queryDataByTypeEx HTTP/1.1
Host: easy7.mrxn.net
Content-Type: application/x-www-form-urlencoded

tabname=TAB_WORKBOOK_TYPE SQLI_POC

成功延时5秒