金蝶政务GSiS服务平台通用任意文件上传漏洞

程序名称：Kingdee GSIS

开发公司：金蝶

漏洞类型：任意文件上传

漏洞文件：/core/upload/upload.jsp

关键词：inurl:/kdgs/

收集几个案例，方便测试

1.http://**.**.**/kdgs/_
 2.http://**.**.**/kdgs/_
 3.http://**.**.**/kdgs/_
 4.://**.**.**/kdgs/_
 5.http://**.**.**/kdgs/
 

漏洞成因：对文件上传类型没有严格过滤，当允许类型allowedTypes为null时，采用的是*.*通配，导致任意文件上传。

//判断上传格式
 String fileDesc;
 String fileExt;
 String uploadFileNumber;
     if(allowedTypes.equals("image" )|| allowedTypes=="image"){
      fileDesc="jpg/gif/jpeg/png/bmp";
      fileExt="*.jpg;*.gif;*.jpeg;*.png;*.bmp";
      uploadFileNumber="1";
     }else{
      fileDesc="*";
      fileExt="*.*";/////这里是问题所在
      uploadFileNumber="10";
     }

漏洞利用：

①首先注册一个普通用户，登录及注册地址：/kdgs/biz/portal/login/login.action

②访问/kdgs/core/upload/upload.jsp ，选择jsp文件，上传抓包，把path的值改为ITEM_PATH提交，即可获得webshell,简单粗暴

实例演示：

###NO.1

1.http://**.**.**/kdgs/
 

首先访问http://**.**.**.**:8080/kdgs/biz/portal/login/login.action

点击注册一个用户，这里我注册的testbye/testtest，登录进去

直接访问:http://**.**.**.**:8080/kdgs/core/upload/upload.jsp

选择jsp马上传抓包，改path:ITEM_PATH

在返回值里看shell路径

shell路径为：/uploads/item/11e4-5dc8-b4173752-b77d-1335b63918b7.jsp，后面的Jf**.jsp去掉

####NO.2

1.http://**.**.**/kdgs/
 

步骤和上面一样，注册个用户，登录访问core/upload/upload.jsp

上传抓包改包：

返回的shell地址：

shell：

政府站点，演示证明下就行了，shell已删.. 就不去弄5个站演示了

如上

过滤上传文件类型

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2014-10-28 09:59

厂商回复：

感谢关注金蝶产品安全，之前已经有同学反馈了，只是产品部门不够重视修复进度比较慢，目前已经自上而下去推动了。再次感谢！

最新状态：

暂无

1. 2014-10-29 10:39 | wefgod ( 核心白帽子 | Rank:1829 漏洞数:183 | 力不从心)

   2

   我就说吗，之前有人提交过了啊

   1# 回复此人