U8cloud base64 SQL注入漏洞分析教学文档

漏洞概述

本漏洞是U8cloud系统中存在的一个SQL注入漏洞，攻击者可以通过构造特定的HTTP请求在系统头部system字段中注入恶意SQL语句。值得注意的是，该漏洞与路径/u8cloud/api/file/upload/base64并无直接关系，而是与系统对请求的处理机制有关。

漏洞复现

复现步骤

1. 构造HTTP请求，目标URL为/u8cloud/api/file/upload/base64（实际上任意以/u8cloud/api/开头的路径均可）
2. 在请求头的system字段中注入SQL语句
3. 发送请求，观察系统响应

关键点

• 注入点位于请求头的system字段
• 路径中的file/upload/base64部分可以替换为任意内容，只要保持以/u8cloud/api/开头即可

漏洞分析

请求处理流程

1. Servlet映射：

   • 请求被映射到ExtSystemInvokerServlet处理
   • 该Servlet还处理以下路径：
     • /u8cloud/openapi/*
     • /u8cloud/yls/*
     • /u8cloud/extsystem/dst/*

2. 路径匹配：

   • 系统检查request.getRequestURI()是否以以下常量开头：
     • /u8cloud/yls
     • /u8cloud/extsystem/dst
     • /u8cloud/api/
     • /u8cloud/openapi/
   • 如果匹配到/u8cloud/api/，serviceName被赋值为u8cloud_api

3. 服务对象获取：

   • 根据serviceName查找对应的类
   • 在/modules/uap/META-INF/P_API.upm配置文件中找到u8c.server.APIServletForJSON类

4. 请求转发：

   • 进入APIController.forWard(request)
   • 执行checkUser()进行用户校验

注入点分析

1. 漏洞位置：

   • 在checkUser()方法中，通过inputData.getSystem()获取system参数
   • 该参数被传入APIOutSysUtil.getOutSysVOByCode()方法

2. SQL拼接：

   • APIOutSysUtil.getOutSysVOByCode()方法中存在明显的字符串拼接
   • 导致攻击者可以通过system参数注入恶意SQL语句

3. 验证顺序：

   • 注入发生在身份验证阶段，甚至早于授权验证
   • 因此攻击者无需完整权限即可利用此漏洞

技术细节

关键代码片段

1. Servlet映射配置（web.xml）：

<servlet-mapping>
    <servlet-name>ExtSystemInvokerServlet</servlet-name>
    <url-pattern>/u8cloud/api/*</url-pattern>
    <url-pattern>/u8cloud/openapi/*</url-pattern>
    <url-pattern>/u8cloud/yls/*</url-pattern>
    <url-pattern>/u8cloud/extsystem/dst/*</url-pattern>
</servlet-mapping>

2. 服务配置（P_API.upm）：

u8cloud_api=u8c.server.APIServletForJSON

3. 漏洞触发点：

// 在APIController.forWard()中
checkUser(inputData.getSystem());  // system参数可控

// 在APIOutSysUtil.getOutSysVOByCode()中
String sql = "SELECT * FROM table WHERE code = '" + code + "'";  // 直接拼接SQL

防御建议

1. 参数化查询：

   • 使用预编译语句和参数化查询替代字符串拼接

2. 输入验证：

   • 对system参数进行严格的格式验证
   • 只允许特定格式的字符通过

3. 权限控制：

   • 在执行SQL查询前进行完整的身份验证和授权检查

4. 错误处理：

   • 使用自定义错误信息，避免泄露数据库结构

遗留问题

1. 服务模块调用机制：

   • /u8cloud/api/后的服务模块具体调用流程尚未完全分析
   • 需要进一步研究模块加载和路由机制

2. 其他潜在注入点：

   • 系统中可能存在类似的字符串拼接问题
   • 建议进行全面审计

总结

该漏洞展示了即使在高权限系统中，简单的字符串拼接也可能导致严重的安全问题。开发人员应始终使用安全的数据库访问方式，并对所有用户输入保持警惕。安全团队应定期进行代码审计，特别是关注数据流从用户输入到敏感操作（如数据库查询）的完整路径。