渗透项目|越权跳转导致的flowable命令执行

admin 2022年5月8日18:06:14评论91 views字数 1324阅读4分24秒阅读模式

项目中遇到的问题,进行记录。

过程

在目标系统测试一段时间没有收获过后发现一个叫做学习平台功能模块处发生跳转到8092端口上去。


渗透项目|越权跳转导致的flowable命令执行


后续观察数据包的时候发现,跳转形式是
http://xxx.com:8092/login?username=xx&token=xxx

渗透项目|越权跳转导致的flowable命令执行


抱着试一试的心态试了一下,将userName换成了admin,重新访问后,直接以管理员的身份进入这个系统的后台。


渗透项目|越权跳转导致的flowable命令执行


后续了解到之前有人挖到过这个洞,但是甲方不收,就准备简单看一下这边的功能。


绕了半天在一个流程模板的功能点发现使用了一款叫做flowable的工作流引擎。


渗透项目|越权跳转导致的flowable命令执行


然后看了一下,发现了一个叫做shell任务的模块。


渗透项目|越权跳转导致的flowable命令执行


试了一下,在里面写入命令,但好像没有地方可以让这个任务直接运行起来,后续去看了一下文档,也没有找到特别多的可利用信息。

找了一圈得shell任务是怎么写的。

<serviceTask id="shellEcho" flowable:type="shell" >
<extensionElements>
<flowable:field name="command" stringValue="cmd" />
<flowable:field name="arg1" stringValue="/c" />
<flowable:field name="arg2" stringValue="echo" />
<flowable:field name="arg3" stringValue="EchoTest" />
<flowable:field name="arg4" stringValue=">" />
<flowable:field name="arg5" stringValue="D:contentsec.txt" />
<flowable:field name="wait" stringValue="true" />
<flowable:field name="outputVariable" stringValue="resultVar" />
</extensionElements>
</serviceTask>


这边是图形化界面,可以直接进行配置,如下(当时写的是echo一个txt文件,没有截图):


渗透项目|越权跳转导致的flowable命令执行


但还需要让shell任务运行,后续看到他已经配好了一个完整的流程,就在开始流程后插入了这个shell任务。


渗透项目|越权跳转导致的flowable命令执行



然后保存后通过另一个点将这个新的模板进行部署,到现有的功能中去,意味着我只要去发起这个流程就能触发我的shell命令。


部署:


渗透项目|越权跳转导致的flowable命令执行


发起对应的流程:


渗透项目|越权跳转导致的flowable命令执行


开始尝试的是写入了一个txt文件,成功


渗透项目|越权跳转导致的flowable命令执行


然后尝试写入jsp文件,访问直接下载,其他目录也不行,应该是jar包那种环境


由于系统是Windows,将命令改成powershell的指令


渗透项目|越权跳转导致的flowable命令执行


再次发起流程,ok

渗透项目|越权跳转导致的flowable命令执行

总结

误打误撞,如果上次甲方接受了越权跳转的漏洞,那么可能就遇不到这个功能点了,存在运气成分。

作者:yueryou原文地址:https://xz.aliyun.com/t/11144


声明:本公众号所分享内容仅用于网安爱好者之间的技术讨论,禁止用于违法途径,所有渗透都需获取授权!否则需自行承担,本公众号及原作者不承担相应的后


原文始发于微信公众号(汇编语言):渗透项目|越权跳转导致的flowable命令执行

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
未分类
admin
  • 本文由 发表于 2022年5月8日18:06:14
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   渗透项目|越权跳转导致的flowable命令执行https://cn-sec.com/archives/986896.html

发表评论

匿名网友 填写信息