漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-060871
漏洞标题：用友办公平台任意文件上传getshell
相关厂商：用友软件
漏洞作者： 路人甲
提交时间：2014-05-15 18:18
修复时间：2014-08-10 18:20
公开时间：2014-08-10 18:20
漏洞类型：文件上传导致任意代码执行
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-05-15： 细节已通知厂商并且等待厂商处理中
2014-05-20： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-07-14： 细节向核心白帽子及相关领域专家公开
2014-07-24： 细节向普通白帽子公开
2014-08-03： 细节向实习白帽子公开
2014-08-10： 细节向公众公开
简要描述：
详细说明：
无需登录，通杀用友办公平台。。。
http://oa.bamatea.com
http://oa.moonbasa.com
http://oa.etonetech.com
http://oa.ztcz.cn
http://218.249.130.74
http://119.146.190.170:9988
http://zhidao.baidu.com
http://wenku.baidu.com
http://223.4.22.36
http://222.243.160.83:9090
http://www.chipshow.cn
http://116.205.96.170:9090
http://www.sxjbjt.com:9090
http://122.225.203.168:8888
http://oa.chinabed.com
http://oa.lutongnet.com
http://oa.zetacn.com:9090
http://oa.zhcpt.edu.cn
http://www.doc88.com
http://oa.sinodata.com.cn
http://www.docin.com
http://www.koyochem.com:8080
http://61.186.155.27
http://oa.nyinn.cn
http://115.236.65.115:9090
http://119.146.190.118:8089
http://219.137.250.133
http://123.133.29.174:9090
http://koa.ecp888.com
http://www.cting.com.cn
http://oa.suncorps.cn
http://59.41.47.211
http://oa.bamatea.com:9090
http://oa.zhenaiws.com
http://www.koyochem.com:9191
http://60.208.131.46:9090
http://219.131.221.174:9090
http://oa.bnuz.edu.cn:8080
http://183.238.59.61:9090
http://218.205.208.22:9090
http://oa.xhlbdc.com
http://124.193.165.174:9090
http://218.75.87.186:9090
http://oa.eva-group.com:511
http://113.106.92.16:9090
http://oa.cqmsy.com
http://cting.com.cn
http://220.231.158.211
http://oa.tiholding.cn
http://124.172.170.141:9090
http://oa.hengdigroup.com:9090
http://www1.elkay.com.cn:9090
http://www.gzpiano.com
http://oa.zaffer.cn
http://oa.gdisg.com
依然是上传问题，这次在femail/uploadAccessory.jsp中
<%@ page contentType="text/html; charset=GBK" language="java"%>
<%@ page import="fe.util.BaseFunc,fe.ufmail.MailServer"%>
<jsp:directive.page import="fe.upload.UploadFile"/>
<jsp:directive.page import="java.io.File" />
<html>
<head>
<title>${FE_SYS_TITLE }</title>
<link href="/style1.css" rel="stylesheet" type="text/css">
<meta http-equiv="Content-Type" content="text/html; charset=GBK">
<style type="text/css">
<!--
body {
margin-left: 0px;
margin-right: 0px;
margin-top: 0px;
background-color: #EEEEEE;
}
-->
</style>
</head>
<script language="javascript" src="/js/BaseFunc.js"></script>
<script language="javascript" src="/js/BaseFun.js"></script>
<body>
<%
String flelst = request.getParameter("fileList");
String action = request.getParameter("action");
String strpath = BaseFunc.ISOToGBK(request.getParameter("temppath"));//获取路径。。。这里可以自定义，构造好我们的路径即可。。。
int saveFlag = -1;
if ( flelst != null && flelst.length() > 0 )
flelst = BaseFunc.ISOToGBK(flelst);
else
flelst = "";
/*
int allowsize = MailServer.getDefaultAccessSize();
if ( flelst.length() > 0 ){
String file[] = flelst.split(";;");
for ( int i = 0; i < file.length; i++ ){
String fleinfo[] = file[i].split(";");
File file1=new File(strpath,fleinfo[0]);
allowsize=allowsize-(int)file1.length();
}
}
*/
String msgStr = "";
int allowsize = MailServer.getDefaultAccessSize()+1024*1024*10;
//original value 10M
if (action!=null && action.equals("save")){
这里将temppath 定义为../../jboss/server/default/deploy/fe.war/
即可，这里即可将我们的马直接写到网站根目录当中
然后上传成功之后，右击源代码，即可看到shell地址
连接www.xxx.com/1400082691416.jsp
即是shell，目前通杀。。。。
如
![CG6`ZR`]{{{18E7%Z{3U5UR.jpg](http://wimg.zone.ci/upload/201405/151554575703fbcb358438a34b72f61e467ad3eb.jpg)
直接即可添加管理员（因为都是administrator权限，直接执行系统命令，获取服务器），如图：
漏洞证明：
直接即可添加管理员（因为都是administrator权限，直接执行系统命令，获取服务器），如图：
修复方案：
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-08-10 18:20
厂商回复：
最新状态：
暂无