中航证券某系统漏洞引发oa系统代码执行

1.此系统会提示用户名是否正确，可以用于用户枚举，猜密码。

http://sj.avicsec.com/m1/login.do

2.通过猜解，得到一部分弱口令用户，密码为1

登录此系统，泄漏内部信息，可以获取内部通讯录

3.浩天说只是登录暴力猜解是上不了首页的。于是继续深入测试，尝试使用此系统用户去登录中航证券的oa系统。

http://oa1.avicsec.com

登录成功。

由于是泛微oa，根据 WooYun: 泛微某系统漏洞集合（不拿shell不是合格的白帽子） 的描述，登录后可以获取webshell，据说过程是这样的:

登录状态下的文件上传导致任意代码执行漏洞
 
 漏洞模块为：我的邮件 -- 联系人 -- 导入 -- 以逗号为分隔符的CVS文件
 
 漏洞描述：对于用户上传的文件格式未进行限制且并未重命名文件名，可导入jsp文件。通过查看数据包，得到存储的路径为：webroot/email/csv/ 。最终得到的文件路径为：http://**.**.**.**/email/csv/上传的文件名.jsp

然而测试时发现，jsp文件并不能直接上传，会直接被服务器丢弃（有防火墙之类的防护）

4.继续测试绕过上传检测，通过尝试发现，txt,js,jsp,jSp等后缀均不能上传，cvs,csv,c等等后缀可以上传。继续尝试发现，可以将1.cvs.jsp.这个文件中最后一个"."在hex模式下修改为“00”.即可突破后缀名的限制。

浏览器访问看到上传成功了

5.文件名限制突破了，那么开心的丢个jsp一句话上去，不就shell了么？

然而，现实又一次打击了我，看来防护手段还对上传内容进行了过滤

继续开脑洞，通过测试发现，防护手段检测到import，exec等关键字就直接丢包了。

然而没有放弃的小白又一次通过在关键字后面加00字符的方式，绕过了内容检测。开心撒花(*^__^*)

6.但是还没高潮到1秒中，就又一次被现实给打击了。。。

访问webshell时，防火墙又出来捣乱了。猜测webshell的jsp代码在执行之前被拦截了。

7.于是开始寻找一款能绕过此防火墙的webshell。

在尝试了园长大大的各种shell中http://javaweb.org/?p=1627，发现了一款，可以通过jsp写任意文件（泛微oa的系统用户权限貌似都是root）。

写个文件看看

写入成功

但是还是没法获取webshell，只能证明jsp代码成功执行了。

继续开脑洞获取系统shell的话，我只能联想redis getsehll的方法，覆盖/root/.ssh/authorized_keys的方式来获取了。

扫了一下端口，遗憾的发现22号端口没开。

止步于此了。

成功写入任意文件

http://oa1.avicsec.com/1.txt

1.修复暴力猜解密码的漏洞

2.修复上传逻辑漏洞

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2016-03-15 15:05

厂商回复：

已修复该漏洞，谢谢提供

最新状态：

暂无

1. 2016-03-15 15:24 | Aasron ( 普通白帽子 | Rank:905 漏洞数:163 | raw_input("你知道我要输入什么？"))

   1

   花非花，雾非雾

   1# 回复此人