用友NC6.5 XbrlPersistenceServlet.class 反序列化漏洞分析及复现

l 系统：Winserver2008R

l 数据库：Oracle11G

l JDK：java 1.7.0_51

l 复现版本：用友NC6.5

Jar包所在目录为：

/yonyouNC6.5/modules/uapxbrl/META-INF/lib/uapxbrl_uapxbrlLevel-1.jar!

类对应的路径为：

/uap/xbrl/persistenceImpl/XbrlPersistenceServlet.class ,类方法代码如下图所示：

可以看到无论是Get方法和Post方法都调用了this.doAction()，追踪进去看看。doAction()方法代码如下图所示：

通过readObject进行反序列化后，将反序列化后的结果转换为HashMap类型，其中HashMap的键为String、值为String。再获取headInfo的“action”属性，后续根据该值进入相应的分支执行对应的方法。

readObject()代码如下图所示：

虽然是重写的，但是具体方法实现是一样的。可以试着去找漏洞利用链。

构造URLDNS链的数据包如下图所示：

发送数据包，即可看到DNS页面有回显，验证了此处有反序列化漏洞存在。

构造对应CC链的数据包如下图所示：

发送数据包，在系统环境中弹出了计算机，成功执行命令。