.NET 复现某OA 3个SQL堆叠注入漏洞

应用介绍

某宝 OA是一款企业级办公自动化系统，提供了一系列功能强大的工具，包括但不限于流程审批、文档管理、日程安排、协同办公、人事管理等，为企业提供了一个集成化的解决方案。OA 通过提高工作效率、降低运营成本、优化业务流程等方面，为企业带来了显著的商业价值。

漏洞分析

参数cmdText通过获取后未做任何过滤，带入ExecuteQueryNoneResult方法进行SQL查询，因此造成注入漏洞，核心漏洞代码如下所示。

public ReturnResult<int> ExecuteQueryNoneResult(string token, string cmdText){  if (IsAuthorityCheck() == null)  {    return new ReturnResult<int>("token不能为空或已过期");  }  cmdText = getByValue("cmdText");  if (string.IsNullOrWhiteSpace(cmdText))  {    return new ReturnResult<int>("cmdText参数不能为空");  }  return SingleBase<systemService>.Instance.ExecuteQueryNoneResult(SingleBase<userService>.Instance.GetConnectionString(token), cmdText);}

另外ExecuteSqlForNone、ExecuteSqlForNoneEx两个方法同样可以利用堆叠实现延时注入攻击，只是在参数上稍加变化，将payload注入的位置改成sql参数即可。

public ReturnResult<int> ExecuteSqlForNone(string token, string sql, string strParameters){  if (IsAuthorityCheck() == null)  {    return new ReturnResult<int>("token不能为空或已过期");  }  sql = getByValue("sql");  strParameters = getByValue("strParameters");  if (string.IsNullOrWhiteSpace(sql))  {    return new ReturnResult<int>("sql参数不能为空");  }  if (string.IsNullOrWhiteSpace(getByValue("strParameters")))  {    return new ReturnResult<int>("strParameters参数不能为空");  }  return SingleBase<systemService>.Instance.ExecuteSqlForNone(SingleBase<userService>.Instance.GetConnectionString(token), sql, strParameters);}

public ReturnResult<int> ExecuteSqlForNoneEx(string token, string sql, SqlParameter[][] detailParms){  if (IsAuthorityCheck() == null)  {    return new ReturnResult<int>("token不能为空或已过期");  }  sql = getByValue("sql");  if (string.IsNullOrWhiteSpace(sql))  {    return new ReturnResult<int>("sql参数不能为空");  }  if (string.IsNullOrWhiteSpace(getByValue("detailParms")))  {    return new ReturnResult<int>("detailParms参数不能为空");  }  try  {    detailParms = JsonConvert.DeserializeObject<SqlParameter[][]>(getByValue("detailParms"));  }  catch  {    return new ReturnResult<int>("detailParms参数类型应为SqlParameter[][]");  }  return SingleBase<systemService>.Instance.ExecuteSqlForNoneEx(SingleBase<userService>.Instance.GetConnectionString(token), sql, detailParms);}