搜索

[28865] 2021-04-19_通达OA代码审计篇-11.7有条件的任意命令执行

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2021-04-19_通达OA代码审计篇-11.7有条件的任意命令执行 通 达 O A 代 码 审 计 篇   -   1 1 . 7   有 条 件 的 任 意 命 令 执 行 L o R e x x a r   O t s 安 全   2 0 2 1 - 0 4 - 1 9 原 文 作 者 ： L o R e x x a r 原 文 链 接 ： h t t p s : / / l o r e x x a r . c n / 2 0 2 1 / 0 3 / 0 3 / t o n g d a 1 1 - 7 r c e / 发 表 日 期 ： M a r c h   3 r d   2 0 2 1 ,   5 : 2 3 : 2 4   p m 更 新 日 期 ： M a r c h   8 t h   2 0 2 1 ,   4 : 1 2 : 3 2   p m 版 权 声 明 ： 本 文 采 用 知 识 共 享 署 名 - 非 商 业 性 使 用   4 . 0   国 际 许 可 协 议 进 行 许 可 这 是 一 个 由 有 条 件 的 任 意 用 户 登 录 + 低 权 限 文 件 上 传 + 低 权 限 目 录 穿 越 + 低 权 限 文 件 包 含 组 成 。 可 能 是 盯 着 国 内 O A 的 人 太 多 了 ， 这 个 漏 洞 在 2 0 2 0 年 9 月 2 8 号 的 1 1 . 8 版 本 中 被 更 新 修 复 ， 比 较 可 惜 的 是 ， 一 次 更 新 修 复 了 全 部 的 漏 洞 逻 辑 ， 不 禁 令 人 惊 叹 。 今 天 就 一 起 来 看 看 整 个 漏 洞 的 逻 辑 ~ 有 条 件 的 任 意 用 户 登 录 有 条 件 的 任 意 用 户 登 录 其 实 如 果 关 注 过 通 达 O A 的 朋 友 ， 应 该 都 会 知 道 通 达 O A 是 一 个 特 别 庞 杂 的 O A 系 统 ， 整 个 系 统 涉 及 到 2 万 多 个 P H P 文 件 ， 其 中 除 了 能 访 问 到 的 W e b 逻 辑 以 外 ， O A 还 内 置 了 特 别 多 的 其 他 功 能 ， 可 能 是 用 于 定 制 版 的 O A ， 也 可 能 压 根 就 是 逻 辑 太 多 就 有 很 多 忘 记 了 。 这 里 的 这 个 漏 洞 就 特 别 的 朴 素 。 这 里 可 以 注 意 到 左 边 传 入 的 u i d 会 直 接 从 数 据 库 查 询 ， 然 后 查 询 出 来 的 s e s s i o n   i d 会 被 直 接 赋 值 给 当 前 用 户 。 也 就 是 说 ， 如 果 当 前 站 点 有 正 在 登 录 的 用 户 ， 我 们 通 过 遍 历 u i d 就 可 以 登 录 所 有 当 前 在 线 的 账 号 。 （ 唯 一 的 问 题 是 ， 通 达 O A 有 自 动 掉 线 机 制 ， 不 过 O A 系 统 有 在 线 用 户 都 很 正 常 ） 这 里 的 修 复 方 案 也 很 奇 怪 ， 可 以 注 意 看 上 图 中 右 边 就 是 1 1 . 8 的 代 码 ， 这 段 代 码 直 接 就 被 删 除 了 … 低 权 限 文 件 上 传 低 权 限 文 件 上 传 + 低 权 限 目 录 穿 越 低 权 限 目 录 穿 越 m o b i l e a u t h _ m o b i . p h p
在 通 达 O A 中 ， 其 实 涉 及 到 上 传 文 件 的 地 方 并 不 少 ， 而 且 后 台 本 身 就 有 上 传 文 件 的 功 能 ， 但 是 通 达 O A 在 这 方 面 做 的 比 较 好 ， 它 设 计 了 两 个 限 制 给 文 件 上 传 。 首 先 我 们 关 注 上 传 文 件 的 逻 辑 ， 主 要 函 数 为 t d _ c o p y 和 t d _ m o v e _ u p l o a d e d _ f i l e 这 两 个 ， 这 里 我 们 先 关 注 t d _ m o v e _ u p l o a d e d _ f i l e 这 里 我 们 直 接 跟 进 i s _ u p l o a d a b l e 函 数 可 以 关 注 到 的 是 ， 1 、 不 能 没 有 . 2 、 不 能 . 之 后 为 空 3 、 . 之 后 3 个 字 符 不 能 是 P H P 第 一 反 应 是 可 以 用 p h t m l 或 者 p h t 等 绕 过 ， 但 可 惜 通 达 内 置 的 n g i n x 在 这 方 面 配 置 的 很 好 。 f u n c t i o n   t d _ m o v e _ u p l o a d e d _ f i l e ( $ f i l e n a m e ,   $ d e s t i n a t i o n ) { i f   ( ! i s _ u p l o a d a b l e ( $ d e s t i n a t i o n ,   t r u e ) )   {         M e s s a g e ( _ ( " 禁 止 " ) ,   _ ( " 禁 止 创 建 此 类 型 文 件 " ) ) ;         B u t t o n _ B a c k ( ) ; e x i t ( ) ;     } r e t u r n   m o v e _ u p l o a d e d _ f i l e ( $ f i l e n a m e ,   $ d e s t i n a t i o n ) ; } f u n c t i o n   i s _ u p l o a d a b l e ( $ F I L E _ N A M E ,   $ c h e c k p a t h ,   $ f u n c _ n a m e ) {     $ E X T _ N A M E   =   " " ;     $ P O S   =   s t r r p o s ( $ F I L E _ N A M E ,   " . " ) ; i f   ( $ P O S   = = =   f a l s e )   {         $ E X T _ N A M E   =   $ F I L E _ N A M E ;     } e l s e   {         $ E X T _ N A M E   =   s t r t o l o w e r ( s u b s t r ( $ F I L E _ N A M E ,   $ P O S   +   1 ) ) ;         $ E X T _ N A M E   =   f i l e n a m e _ v a l i d ( $ E X T _ N A M E ) ; i f   ( ( t d _ t r i m ( $ E X T _ N A M E )   = =   " " )   | |   ( t d _ t r i m ( s t r t o l o w e r ( s u b s t r ( $ E X T _ N A M E ,   0 ,   3 ) ) )   = =   " p h p " ) )   { r e t u r n   f a l s e ;         }     } i f   ( $ c h e c k p a t h   & &   ! t d _ p a t h _ v a l i d ( $ F I L E _ N A M E ,   $ f u n c _ n a m e ) )   { r e t u r n   f a l s e ;     }     . . . l o c a t i o n   ~   . p h p $   { f a s t c g i _ p a s s       O f f i c e F P M ;
首 先 避 免 了 奇 奇 怪 怪 的 文 件 后 缀 ， 只 有 p h p 才 解 析 执 行 。 其 次 通 达 还 配 置 了 专 门 的 附 件 目 录 一 般 来 说 ， 除 非 找 到 绕 过 的 办 法 ， 否 则 所 有 的 文 件 都 会 被 上 传 到 这 个 目 录 下 ， 那 么 无 论 我 们 是 否 能 绕 过 后 缀 限 制 ， 我 们 都 没 办 法 解 析 执 行 p h p 文 件 。 所 以 这 里 我 们 需 要 找 到 一 个 配 合 目 录 穿 越 的 文 件 上 传 点 。 f a s t c g i _ p a s s       O f f i c e F P M ; f a s t c g i _ i n d e x     i n d e x . p h p ; i n c l u d e                 f a s t c g i . c o n f ; a d d _ h e a d e r   X - F r a m e - O p t i o n s   S A M E O R I G I N ; } l o c a t i o n   / a t t a c h m e n t   { d e n y   a l l ; } / g e n e r a l / r e p o r t s h o p / u t i l s / u p l o a d . p h p   l i n e   1 1 6 e l s e   {     $ u p l o a d d i r   =   M Y O A _ A T T A C H _ P A T H   .   " r e p o r t s h o p / a t t a c h m e n t / " ; i f   ( ! i s _ d i r ( M Y O A _ A T T A C H _ P A T H   .   " r e p o r t s h o p / a t t a c h m e n t " ) )   { i f   ( ! i s _ d i r ( M Y O A _ A T T A C H _ P A T H   .   " r e p o r t s h o p " ) )   {             m k d i r ( M Y O A _ A T T A C H _ P A T H   .   " r e p o r t s h o p " ) ;         }         m k d i r ( M Y O A _ A T T A C H _ P A T H   .   " r e p o r t s h o p / a t t a c h m e n t " ) ;     }     $ s _ c o d e   =   m b _ d e t e c t _ e n c o d i n g ( $ f i l e n a m e ,   a r r a y ( " U T F - 8 " ) ,   t r u e ) ; i f   ( $ s _ c o d e   = =   " U T F - 8 " )   {         $ f i l e n a m e   =   i c o n v ( " U T F - 8 " ,   " G B K / / I G N O R E " ,   $ f i l e n a m e ) ;     } i f   ( i s s e t ( $ r i d ) )   { i f   ( ! p r e g _ m a t c h ( " / ^ { ( [ 0 - 9 A - Z ] | - ) { 3 6 } } $ / " ,   $ r i d )   | |   p r e g _ m a t c h ( " / ^ { ( [ 0 - 9 A - Z ] | - ) { 3 6 } } $ / " ,   $ c i d ) )   { i f   ( i s s e t ( $ j s o n ) )   { e c h o   " { " ; e c h o   " n e w _ n a m e : ' ' , n " ; e c h o   " e r r o r :   ' t r u e ' , n " ; e c h o   " m s g :   ' 文 件 不 符 合 要 求 ' n " ; e c h o   " } " ;             } e l s e   { e c h o   " 文 件 不 符 合 要 求 ！ " ;             }
e x i t ( ) ;         } i f   ( ! c h e c k _ f i l e n a m e ( $ f i l e n a m e )   | |   ! c h e c k _ f i l e t y p e ( $ f i l e n a m e ) )   { i f   ( i s s e t ( $ j s o n ) )   { e c h o   " { " ; e c h o   " n e w _ n a m e : ' ' , n " ; e c h o   " e r r o r :   ' t r u e ' , n " ; e c h o   " m s g :   ' 文 件 不 符 合 要 求 ' n " ; e c h o   " } " ;             } e l s e   { e c h o   " 文 件 不 符 合 要 求 ！ " ;             } e x i t ( ) ;         } i f   ( f i l e _ e x i s t s ( $ u p l o a d d i r   .   $ f i l e n a m e ) )   {             $ p   =   s t r p o s ( $ f i l e n a m e ,   " _ " ) ;             $ s   =   s u b s t r ( $ f i l e n a m e ,   $ p   +   1 ,   s t r l e n ( $ f i l e n a m e )   -   $ p   -   1 ) ;             $ s _ p r e f i x   =   s t r _ r e p l a c e ( " - " ,   " " ,   s t r _ r e p l a c e ( " } " ,   " " ,   s t r _ r e p l a c e ( " { " ,   " " ,   $ r i d   .   $ c i d ) ) ) ; i f   ( $ f i l e n a m e   ! =   " { "   .   $ s _ p r e f i x   .   " } _ "   .   $ s )   {                 t d _ c o p y ( $ u p l o a d d i r   .   $ f i l e n a m e ,   " $ u p l o a d d i r { "   .   $ s _ p r e f i x   .   " } _ "   .   $ s ) ;             }         }     } e l s e   i f   ( ! e m p t y ( $ _ F I L E S ) )   {         $ s _ n   =   $ _ F I L E S [ $ f i l e i d ] [ " n a m e " ] ; i f   ( ! c h e c k _ f i l e n a m e ( $ s _ n )   | |   ! c h e c k _ f i l e t y p e ( $ s _ n ) )   { i f   ( i s s e t ( $ j s o n ) )   { e c h o   " { " ; e c h o   " n e w _ n a m e : ' ' , n " ; e c h o   " e r r o r :   ' t r u e ' , n " ; e c h o   " m s g :   ' 文 件 不 符 合 要 求 ' n " ; e c h o   " } " ;             } e l s e   { e c h o   " 文 件 不 符 合 要 求 ！ " ;             } e x i t ( ) ;         }
首 先 1 7 6 行 过 滤 非 常 简 单 ， 后 缀 不 是 对 应 的 几 个 就 行 了 ， 这 里 其 实 过 滤 没 啥 用 ， 有 很 多 过 滤 方 式 ， p h p 5 啊 ， p h p . ， p h p : : $ D A T A 都 可 以 绕 过 绕 过 的 重 心 主 要 在 这 几 行 这 里 可 以 关 注 到 n e w i d 被 直 接 拼 接 进 了 路 径 中 ， 且 没 有 设 计 专 门 的 过 滤 ， 导 致 我 们 可 以 穿 越 任 意 目 录 写 ， 当 n e w i d 为 . . / . . / . . / . . / 目 录 相 应 就 为 这 里 的 修 复 方 式 也 很 直 接 ， n e w i d 被 添 加 了 额 外 的 过 滤 。         } i f   ( ( $ s _ n [ 0 ]   ! =   " { " )   & &   i s s e t ( $ n e w i d ) )   {             $ s _ n   =   " { "   .   $ n e w i d   .   " } _ "   .   $ s _ n ;         } i f   ( t d _ m o v e _ u p l o a d e d _ f i l e ( $ _ F I L E S [ $ f i l e i d ] [ " t m p _ n a m e " ] ,   $ u p l o a d d i r   .   $ s _ n ) )   {         } e l s e   {             $ b _ r e s   =   " f a l s e " ;         } f u n c t i o n   c h e c k _ f i l e t y p e ( $ s _ n a m e ) {     $ p   =   s t r r p o s ( $ s _ n a m e ,   " . " ) ; i f   ( $ p   ! = =   f a l s e )   {         $ p o s t f i x   =   s t r t o l o w e r ( s u b s t r ( $ s _ n a m e ,   $ p   +   1 ) ) ; i f   ( i n _ a r r a y ( $ p o s t f i x ,   a r r a y ( " p h p " ,   " e x e " ,   " j s " ) ) )   { r e t u r n   f a l s e ;         }     } r e t u r n   t r u e ; } i f   ( ( $ s _ n [ 0 ]   ! =   " { " )   & &   i s s e t ( $ n e w i d ) )   {     $ s _ n   =   " { "   .   $ n e w i d   .   " } _ "   .   $ s _ n ; } i f   ( t d _ m o v e _ u p l o a d e d _ f i l e ( $ _ F I L E S [ $ f i l e i d ] [ " t m p _ n a m e " ] ,   $ u p l o a d d i r   .   $ s _ n ) )   { } e l s e   {     $ b _ r e s   =   " f a l s e " ; } D : / M Y O A / w e b r o o t / a t t a c h m e n t / r e p o r t s h o p / a t t a c h m e n t / { 3 2 1 / . . / . . / . . / . . / a } _ . t x t
截 至 目 前 为 止 ， 我 们 可 以 将 一 个 非 p h p 文 件 传 到 任 意 为 止 了 。 在 这 里 曾 经 困 扰 了 我 很 久 ， 因 为 这 里 的 文 件 上 传 实 际 上 受 到 了 3 个 以 上 的 限 制 ， 且 所 有 的 限 制 都 集 中 在 p h p 后 缀 ， 但 这 里 明 显 是 个 不 太 现 实 的 目 标 。 所 以 与 其 继 续 去 研 究 怎 么 找 一 个 蹩 脚 的 绕 过 方 式 ， 不 如 去 找 一 个 可 以 文 件 包 含 的 地 方 。 这 里 就 用 到 了 之 前 公 开 的 任 意 文 件 包 含 漏 洞 ， 之 前 的 漏 洞 修 复 方 式 主 要 是 限 制 了 . . 和 权 限 。 任 意 文 件 包 含 任 意 文 件 包 含 这 里 我 们 先 看 看 之 前 的 任 意 文 件 包 含 漏 洞 。 / i s p i r i t / i n t e r f a c e / g a t e w a y . p h p i f   ( $ j s o n )   {     $ j s o n   =   s t r i p c s l a s h e s ( $ j s o n ) ;     $ j s o n   =   ( a r r a y )   j s o n _ d e c o d e ( $ j s o n ) ; f o r e a c h   ( $ j s o n   a s   $ k e y   = >   $ v a l   )   { i f   ( $ k e y   = =   " d a t a " )   {             $ v a l   =   ( a r r a y )   $ v a l ; f o r e a c h   ( $ v a l   a s   $ k e y s   = >   $ v a l u e   )   {                 $ k e y s   =   $ v a l u e ;             }         } i f   ( $ k e y   = =   " u r l " )   {             $ u r l   =   $ v a l ;         }     } i f   ( $ u r l   ! =   " " )   { i f   ( s u b s t r ( $ u r l ,   0 ,   1 )   = =   " / " )   {             $ u r l   =   s u b s t r ( $ u r l ,   1 ) ;         } i f   ( s t r p o s ( $ u r l ,   " . . " )   ! = =   f a l s e )   { e c h o   _ ( " E R R O R   U R L " ) ; e x i t ( ) ;         } i f   ( ( s t r p o s ( $ u r l ,   " g e n e r a l / " )   = = =   0 )   | |   ( s t r p o s ( $ u r l ,   " i s p i r i t / " )   = = =   0 )   | |   ( s t r p o s ( $ u r l ,   " m o d u l e / " )   = = =   0 ) )   { i n c l u d e _ o n c e   $ u r l ;         }
可 以 看 到 这 里 限 制 了 g e n e r a l 、 i s p i r i t 、 m o d u l e 开 头 ， 且 添 加 了 专 门 的 过 滤 ， 过 滤 了 . . 等 目 录 穿 越 符 号 。 这 里 简 单 了 ， 我 们 直 接 上 传 t x t 文 件 到 g e n e r a l 目 录 下 ， 然 后 包 含 即 可 。 这 里 也 可 以 看 到 ， 在 1 1 . 8 版 本 中 ， 这 个 文 件 包 含 被 直 接 改 成 指 向 文 件 的 了 。 总 结 总 结 这 个 组 合 漏 洞 最 早 是 我 在 2 0 2 0 年 年 初 挖 的 ， 一 直 存 在 手 里 也 没 用 上 ， 没 想 到 突 然 就 更 新 了 ， 修 复 方 式 还 特 别 像 是 翻 着 漏 洞 文 档 一 行 一 行 修 复 的 ， 就 感 觉 很 无 奈 。 其 实 之 前 通 达 O A 的 安 全 性 一 直 受 人 诟 病 ， 在 1 1 . 6 开 始 ， 逐 渐 加 入 全 局 过 滤 ， 然 后 n g i n x 的 配 置 也 经 过 很 多 次 更 新 ， 比 较 关 键 的 任 意 用 户 登 录 又 一 再 修 复 ， 其 实 后 台 的 漏 洞 都 无 关 紧 要 了 ， 这 也 能 说 明 通 达 的 安 全 人 员 也 是 下 了 一 番 苦 工 的 ~ 原 文 作 者 ： L o R e x x a r 原 文 链 接 ： h t t p s : / / l o r e x x a r . c n / 2 0 2 1 / 0 3 / 0 3 / t o n g d a 1 1 - 7 r c e / 发 表 日 期 ： M a r c h   3 r d   2 0 2 1 ,   5 : 2 3 : 2 4   p m 更 新 日 期 ： M a r c h   8 t h   2 0 2 1 ,   4 : 1 2 : 3 2   p m 版 权 声 明 ： 本 文 采 用 知 识 共 享 署 名 - 非 商 业 性 使 用   4 . 0   国 际 许 可 协 议 进 行 许 可         }     }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理