某微ecology9无条件文件上传漏洞

link管理

链接快照平台

输入网页链接，自动生成快照
标签化管理网页链接

某微ecology9无条件文件上传漏洞

前言

今年一月份审出的洞，估计已经修完了。

审计过程

看到web.xml 666行
某微ecology9无条件文件上传漏洞
路由规则/OfficeServer对应类DBstep.OfficeServer
跟进

看到service方法如果请求为post就进入
跟进load方法

可以看到这里就是在解析formdata和文件上传数据
 某微ecology9无条件文件上传漏洞
在这里将值存到了saveFormParam里面
继续看到GetMsgName方法

就是从saveFormParam里面得到刚才的值
回到service方法

主要看这个分支
当moption为INSETIMAGE进入这里我们可以看到自己传入一个imagefileid4pic参数之后带入数据库从imagefile表里面查询亍imagefilename 这里为var9参数然后var9参数被带入了OdocFileUtil.getFileFromByte方法
跟进
 某微ecology9无条件文件上传漏洞
可以看到这里就是写文件的操作将刚才在数据库用id取到的文件流写入到根目录+imagefilename 文件里面
所以我们只需要找到一个文件上传点让imagefilename 为shell.jsp即可组合上传shell至根目录
这里我找到的就是 workrelate/plan/util/uploaderOperate.jsp文件
这个jsp不需要登陆即可访问
 某微ecology9无条件文件上传漏洞
这里我们传入secId和plandetailid 两个不为0就行
然后文件上传Filedata
上传文件后返回了fileid 我们拿着这个fileid请求上述分析的officeserver即可getshell

在数据库中查看imagefilename的确为shell.jsp
泛微对jsp文件内容有些限制但我们只需要unicode就可以绕过
最简单用哥斯拉的上帝模式生成的unicode木马就可以绕

推荐文章

冲动的梨子 · SpringBoot如何正确接收FormData多文件上传？_编程语言-CSDN问答

2 月前

腹黑的自行车 · 督查回声_新疆维吾尔自治区人民政府网

9 月前

怕老婆的小马驹 · 在率先实现社会主义现代化上走在前列-南京大学

9 月前

刚分手的牙膏 · 超净服背后的“芯缘”人生：记全国高校黄大年式教师团队-西安电子科技大学宽禁带半导体教师团队_西安电子科技大学微电子学院

1 年前

健身的显示器 · 中国与近东文明的最初接触 ——2012年伊朗考察记之五 - 北京大学人文社会科学研究院

1 年前

爱笑的草稿纸 · 什么是抖音达人等级？抖音达人等级介绍！三七互联_计划_结算_商家

2 年前