搜索

[15460] 2020-06-05_通达OA远程命令执行漏洞分析

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2020-06-05_通达OA远程命令执行漏洞分析 通 达 O A 远 程 命 令 执 行 漏 洞 分 析 e l v a d i s a s   F r e e B u f   2 0 2 0 - 0 6 - 0 5 一 、 漏 洞 简 介 一 、 漏 洞 简 介 通 达 O A （ O f f i c e   A n y w h e r e 网 络 智 能 办 公 系 统 ） 是 由 北 京 通 达 信 科 科 技 有 限 公 司 自 主 研 发 的 协 同 办 公 自 动 化 软 件 ， 是 与 中 国 企 业 管 理 实 践 相 结 合 形 成 的 综 合 管 理 办 公 平 台 。 3 月 1 3 日 ， 通 达 O A 在 官 方 论 坛 发 布 通 告 称 ， 近 日 接 到 用 户 反 馈 遭 到 勒 索 病 毒 攻 击 ， 攻 击 者 通 过 构 造 恶 意 请 求 ， 上 传 w e b s h e l l 等 恶 意 文 件 ， 并 对 入 侵 的 服 务 器 进 行 文 件 加 密 ， 勒 索 高 额 匿 名 货 币 赎 金 。 笔 者 长 期 从 事 二 进 制 漏 洞 的 研 究 ， 写 此 文 旨 在 学 习 w e b 漏 洞 的 研 究 方 法 并 以 此 漏 洞 为 实 践 ， 强 化 对 w e b 漏 洞 利 用 技 术 的 认 识 ， 记 录 之 。 二 、 漏 洞 分 析 二 、 漏 洞 分 析 资 料 显 示 ， 该 漏 洞 影 响 范 围 较 广 ， 影 响 的 版 本 有 ： V 1 1 版 、 2 0 1 7 版 、 2 0 1 6 版 、 2 0 1 5 版 、 2 0 1 3 增 强 版 、 2 0 1 3 版 。 本 文 为 了 复 现 方 便 ， 下 载 使 用 了 通 达 O A   V 1 1 . 3 版 本 。 下 载 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 Q F A o L x j 9 p D 1 b n n q 3 f 4 I 8 l g 提 取 码 ： o u s i 2 . 1   初 步 的 代 码 审 计 初 步 的 代 码 审 计 安 装 好 通 达 O A   v 1 1 . 3 版 本 ， 安 装 后 在 w e b r o o t 目 录 下 找 到 源 代 码 ， 查 看 源 码 ， 发 现 都 是 乱 码 ， 都 是 经 过 z e n d 加 密 的 ， 需 要 解 密 。 解 密 工 具 可 使 用 S e a y D z e n d ， 因 为 源 码 是 p h p 写 的 ， 最 简 单 的 是 用 s e a y 源 码 审 计 工 具 粗 略 筛 选 一 下 ， 查 找 潜 在 的 漏 洞 ， 代 码 审 计 时 间 较 长 ， 审 计 结 果 取 了 开 头 一 小 段 ， 说 明 思 路 而 已 。 如 图 1 所 示 ： 图 1 ： 代 码 审 计 2 . 2   文 件 上 传 漏 洞 文 件 上 传 漏 洞 根 据 网 上 公 开 资 料 ， 直 接 定 位 到 源 码 路 径   C : p h p S t u d y W W W t o n g d a o a w e b r o o t i s p i r i t i m u p l o a d . p h p ， 查 看 源 码 , 如 图 2 ：
图 2 ： u p l o a d . p h p 文 件 上 传 漏 洞 源 码 该 段 源 码 黑 框 内 部 分 ， 传 入 参 数 p , 当 参 数 p 非 空 时 进 入 会 话 页 面 ， 否 则 就 进 入 认 证 页 面 。 该 处 漏 洞 比 较 明 显 ， 只 要 参 数 p 非 空 就 可 以 绕 过 认 证 。 继 续 阅 读 该 段 代 码 ， 绕 过 认 证 后 就 可 以 直 接 上 传 文 件 。 如 图 3 所 示 ：
图 3 ： 文 件 上 传 跟 进 i n c u t i l i t y _ f i l e . p h p   的 u p l o a d 方 法 , 发 现 有 个 文 件 名 校 验 函 数 i s _ u p l o a d a b l e 。 查 看 该 函 数 的 代 码 逻 辑 ， 如 果 文 件 名 从 最 后 一 个 位 置 倒 数 三 个 是 “ p h p ” ， 那 么 返 回 f a l s e ， 也 就 是 不 可 以 上 传 以 p h p 结 尾 的 文 件 。 参 考 源 码 ， 这 里 也 有 多 种 黑 名 单 绕 过 的 方 法 ， 略 过 。 源 码 如 下 图 4 ： 图 4 ： 文 件 名 黑 名 单 2 . 3   文 件 包 含 漏 洞 文 件 包 含 漏 洞 参 考 资 料 ， 该 文 件 包 含 漏 洞 存 在 于 源 码 i s p i r i t / i n t e r f a c e / g a t e w a y . p h p 。 查 看 该 处 源 码 ， 如 图 5 ：
图 5 ： 文 件 包 含 漏 洞 代 码 通 过 f o r e a c h   循 环 解 析 j s o n ， 如 果 k e y 和 u r l 相 等 ， 那 么 获 得 u r l , 判 断 u r l 是 否 为 空 ， 如 果 不 为 空 且 u r l 中 包 含 g e n e r a l / 、 i s p i r i t / 、 m o d u l e / ， 就 调 用 i n c l u d e _ o n c e 函 数 。 试 想 ， 如 果 u r l 构 造 成 . . / . . / 类 型 ， 执 行 完 文 件 包 含 后 ， 就 可 以 访 问 到 我 们 之 前 上 传 的 文 件 了 ， 一 个 . . / 向 上 一 级 目 录 移 动 一 下 ， 两 个 . . / 刚 好 退 到 t o n g d a o a 的 安 装 目 录 , 后 面 紧 接 着 之 前 上 传 的 文 件 目 录 就 可 以 。 此 处 漏 洞 关 键 就 在 于 构 造 u r l 。 三 、 漏 洞 复 现 三 、 漏 洞 复 现 3 . 1   复 现 环 境 复 现 环 境 测 试 主 机 ： W i n 1 0   x 6 4   e n g l i s h 通 达 O A   1 1 . 3 抓 包 软 件 ： B u r p s u i t e   v 1 . 7 3 7 浏 览 器 F i r e f o x   4 1 . 0 下 面 我 们 分 别 对 两 个 漏 洞 分 别 进 行 复 现 。 3 . 2   复 现 文 件 上 传 漏 洞 复 现 文 件 上 传 漏 洞 通 过 通 读 u p l o a d . p h p 源 码 ， 复 现 该 漏 洞 需 要 满 足 以 下 条 件 ： （ 1 ） 参 数 p   非 空 ； （ 2 ） D E S T _ U I D 非 空 且 为 数 字 ； （ 3 ） U P L O A D _ M O D E   为 1   或 者 2   或 者 3 ； （ 4 ） a t t a c h m e n t 的 文 件 名 不 可 以 为 p h p ； 构 造 文 件 上 传 p a y l o a d 1   如 图 6 ：
图 6 ： 文 件 上 传 p a y l o a d 1 用 B u r p s u i t e 抓 包 ， 修 改 当 前 p a y l o a d 为 p a y l o a d 1 并 重 放 ， 文 件 上 传 成 功 。 如 图 7 所 示 ： 图 7 ： 文 件 上 传 复 现 上 传 的 文 件 保 存 在 目 录 c : p h p s t u d y / w w w / t o n g d a o a / a t t a c h / i m / 2 0 0 5 / 路 径 下 ， 如 图 8 所 示 ： 图 8 ： 上 传 成 功 验 证 文 件 上 传 成 功 。 此 时 有 一 个 问 题 ， 就 是 上 传 的 文 件 不 在 w e b r o o t 目 录 下 ， 远 程 是 访 问 不 了 的 。 这 是 需 要 配 合 另 一 个 漏 洞 - 文 件 包 含 漏 洞 来 完 成 路 径 穿 越 ， 访 问 到 上 传 的 文 件 。 3 . 3   复 现 文 件 包 含 漏 洞 复 现 文 件 包 含 漏 洞 按 照 之 前 代 码 分 析 ， 主 要 是 构 造 u r l 的 p a y l o a d 。 假 设 访 问 h t t p : / / l o c a l h o s t / i s p i r i t / i n t e r f a c e / g a t e w a y . p h p , 用 b u r p s u i t e 截 包 ， 发 送 到 r e p e a t e r , 构 造 文 件 包 含 漏 洞 的 p a y l o a d 2 ， p a y l o a d 2 里 注 意 两 处 ， 一 处 是 增 加 C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d ， 另 一 处 是 j s o n 处 u r l 的 构 造 。 如 图 9 所 示 ， 文 件 包 含 漏 洞 执 行 成 功 。
图 9 ： 文 件 包 含 漏 洞 复 现 3 . 4   获 取 目 标 获 取 目 标 s h e l l 两 个 漏 洞 结 合 使 用 ， 可 以 远 程 获 取 s h e l l 。 提 前 准 备 好 p h p 木 马 以 及 冰 蝎 等 远 程 连 s h e l l 工 具 。 思 路 ： 利 用 文 件 上 传 漏 洞 上 传 p h p 木 马 ， 然 后 再 利 用 文 件 包 含 漏 洞 ， 使 得 w e b 访 问 到 该 p h p 文 件 ， 再 用 冰 蝎 连 接 。 ( 注 意 ： 不 可 以 直 接 为 . p h p , 根 据 代 码 分 析 结 果 ， 结 尾 为 p h p 的 文 件 上 传 不 上 去 ） 如 图 1 0 所 示 ：       图 1 0 ： 获 取 s h e l l 步 骤 1       在 文 件 夹 路 径 “ C : p h p S t u d y W W W t o n g d a o a a t t a c h i m 2 0 0 5 ” 下 找 到 了 该 文 件 ， 上 传 成 功 。 如 图 1 1 ： 图 1 1 ： 上 传 成 功 然 后 通 过 文 件 包 含 漏 洞 访 问 到 刚 刚 上 传 的 2 1 2 5 7 4 5 5 2 7 . t e s t . p h p 文 件 。 如 图 1 2 所 示 ：
图 1 2 ： 访 问 已 上 传 的 文 件 访 问 成 功 后 ， 在 i s p i r i t i n t e r f a c e   目 录 下 会 生 成 r e a d m e . p h p   , 用 冰 蝎 w e b s h e l l 连 接 ， 成 功 获 取 s h e l l 。 如 图 1 3 ： 图 1 3 ： 成 功 获 取 s h e l l 1
图 1 4 ： 成 功 获 取 s h e l l 2 最 后 剩 下 的 就 是 构 造 e x p l o i t 了 ， 网 上 已 经 给 出 很 多 该 漏 洞 远 程 利 用 程 序 ， 大 家 可 以 用 来 测 试 。 四 、 补 丁 比 较 四 、 补 丁 比 较 & 加 固 建 议 加 固 建 议 4 . 1 补 丁 比 较 补 丁 比 较 笔 者 本 着 学 习 的 目 的 ， 下 载 了 通 达 O A v 1 1 . 3 的 补 丁 ， 并 做 了 补 丁 比 较 ， 比 较 的 结 果 如 下 ： 第 一 处 补 丁 补 上 了 文 件 上 传 漏 洞 ， 无 论 参 数 是 否 为 空 ， 都 要 进 行 认 证 。 如 图 1 5 所 示 ： 图 1 5 ： 第 一 处 补 丁 第 二 处 补 丁 将 “ . . ” 过 滤 掉 了 ， 如 果 u r l 中 出 现 该 符 号 ， 认 为 是 错 误 的 u r l 。 这 样 就 不 可 以 执 行 路 径 穿 越 ， 也 就 访 问 不 到 非 w e b r o o t 目 录 下 的 文 件 了 。 如 图 1 6 所 示 ：
图 1 6 ： 第 二 处 补 丁 4 . 2   加 固 建 议 加 固 建 议 建 议 使 用 受 影 响 版 本 的 通 达 O A 用 户 登 录 通 达 O A 官 网 ， 获 取 最 新 补 丁 。 请 根 据 当 前 O A 版 本 选 择 所 对 应 的 程 序 文 件 ， 运 行 前 请 先 做 好 备 份 。 安 全 更 新 下 载 地 址 ： h t t p : / / w w w . t o n g d a 2 0 0 0 . c o m / n e w s / 6 7 3 . p h p 本 文 仅 是 记 录 一 次 对 通 达 O A 漏 洞 的 分 析 利 用 过 程 ， 不 当 的 地 方 请 大 牛 们 指 点 纠 正 。 从 逆 向 思 维 的 角 度 出 发 ， 如 何 自 主 发 现 该 类 型 的 漏 洞 并 能 快 速 形 成 利 用 思 路 ， 构 建 e x p l o i t ? 这 是 笔 者 想 在 后 续 深 入 学 习 w e b 漏 洞 时 想 着 重 提 高 的 。 有 对 代 码 审 计 有 经 验 的 大 牛 或 者 对 代 码 审 计 感 兴 趣 想 一 起 学 习 的 ， 可 站 内 联 系 ， 一 起 进 步 ！ 五 、 参 考 五 、 参 考 h t t p s : / / w w w . c n b l o g s . c o m / y u y a n - s e c / p / 1 2 5 4 9 2 3 7 . h t m l * 本 文 作 者 ： 本 文 作 者 ： e l v a d i s a s ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理