通达OA任意文件上传并利用文件包含导致RCE分析

通达OA（Office Anywhere网络智能办公系统）是由北京通达信科科技有限公司自主研发的协同办公自动化软件，是与中国企业管理实践相结合形成的综合管理办公平台。

漏洞简介

3月13日，通达OA在官方论坛发布通告称，近日接到用户反馈遭到勒索病毒攻击，提示用户注意安全风险，并且于同一天对所有版本发布了加固补丁。

漏洞分析

文件上传

ispirit/im/upload.php

要上传首先需要绕过登陆验证，在本系统中auth.php是登陆验证的相关逻辑，但在upload.php未修复前，如果$P非空就不需要经过auth.php验证即可执行后续代码。利用此处逻辑漏洞可绕过登陆验证直接上传文件。

因上传后的文件不在根目录，所以无法直接利用，因此需要进行文件包含

文件包含

ispirit/interface/gateway.php

未修复前，可通过精心构造json进入47行的includ_once进行文件包含。官方在补丁中增加了对".."的过滤防止用户读取其他目录文件。

POC

首先构造url并访问，在日志中写入一句话

/ispirit/interface/gateway.php?json={}&aa=<?php file_put_contents('1.php','hello world');?>

然后通过如下url进行文件包含利用

/ispirit/interface/gateway.php?json={}&url=../../ispirit/../../nginx/logs/oa.access.log

修复建议

及时安装官方补丁

参考链接

http://club.tongda2000.com/forum.php?mod=viewthread&tid=128372

http://club.tongda2000.com/forum.php?mod=viewthread&tid=128377

本文始发于微信公众号（宽字节安全）：通达OA任意文件上传并利用文件包含导致RCE分析