✍内容

部署正方统一认证系统

先安装Oracle数据库

https://blog.csdn.net/weixin_44841225/article/details/100782269

根据这个文章一步步安装好数据库

数据库信息

1
2
3
4
5
6
7
8
9
10
11
12
13
创建新的Oracle用户：
Oracleuser
123456


数据库文件地址
D:\environment\oradata


sys密码：1234Qwer!

安装完成后会有一个登陆地址：https://localhost:5500/em/

使用navicat连接oracle数据库

新建连接，选择oracle，主机选择localhost，端口默认，服务名查看计算机服务中的是什么

然后选择高级，角色选择sysdba

踩坑

可能连接失败的原因：oci版本不匹配

解决方法：

去这个网址下载对用版本的
http://www.oracle.com/technetwork/database/features/instant-client/index-097480.html

然后去navicat中的选项中的环境中更改成这个下载的oci.dll

详细参考：https://www.cnblogs.com/lrc123/p/15816179.html

导入数据库数据

创建用户：zfsoft_zfim_new
密码：123456

直接使用数据泵导入会报错，所以需要使用imp导入

格式

1
2
3
imp 用户名/密码@服务名 file="文件路径地址" full=y ignore=y

imp sys/1234Qwer!@ODRL file=D:/environment/admin/odrl/dpdump/zfsoft_zfim_new.dmp full=y ignore=y

按照教程也不能部署😅，就到这里了，直接代码审计吧

判断框架

判断框架的意义在于快速熟悉项目的结构，方便接下来的审计

查看配置文件

  • 查看项目结构

    总共两个重要的文件夹：zfca和zfia

  • 两个项目的功能如下

  • 查看zfca的配置文件

    由项目结构可以看出项目的框架有weblogic、spring、dwr

看到这我们还不知道持久层用的是什么框架

  • 查看sql-map-config.xml文件

    这个文件一看就是和sql有关的配置文件

发现ibatis框架

  • 查看Userinfo.xml文件的内容

寻找SQL注入漏洞

既然这个是ibatis框架，那么只要在这个xml文件中搜索是否存在$$拼接的即可

  • 文件中搜索$

    很可惜并没有