CVE-2022-43452：台达电子工业能源管理系统SQL注入漏洞分析

Delta Electronics DIAEnergie是中国台湾台达电子（Delta Electronics）公司推出的一款工业能源管理系统。

1.复现环境

靶机：Win10（192.168.117.172）

软件：DIAEnergie v1.9

2.复现步骤

点击“新增”按钮，Burp抓包后请求包保存成文件sql1.txt，放入sqlmap执行，结果发现“txName_t”参数存在注入，可获得数据库版本、数据库库名信息，如下图所示：

问题就出现在数据查重过程中未对用户输入的内容进行判断而直接拼接至SQL语句中，下面进行具体分析。

当用户点击“新增”按钮后，系统会调用btnBiiAddType_Click()方法，在文件第8行会判断输入的内容是否为空，如果不为空会在第17行将用户输入的“txName_t”赋值给“list”的第二个元素即“list[1]”中,之后在文件第19行调用IsBiiItemExisted()方法，并将“list”数据传入方法，如下图所示：

移步至IsBiiItemExisted()方法，该方法的作用是判断输入的数据在数据库中是否已存在，代码如下图所示：

在该方法中会执行数据库查询操作，在文件第1179、1180行构造查询语句，如下：

SELECT COUNT(1) FROM DIAE_bii WHERE kid='list[0]' AND name='list[1]';

通过以上分析可知，“txName_t”的值最终被拼接进 SQL查询语句，导致 SQL 注入漏洞。

厂商暂未发布漏洞补丁，请联系厂商解决，或采取以下措施降低风险：

1.严格限制数据库访问权限；

2.通过安全设备如WAF进行防御。

点击“在看”鼓励一下吧