当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-063945

漏洞标题：万户ezOFFICE无限制任意文件上传可getshell3（7处打包）

相关厂商：万户

漏洞作者： 北京方便面

提交时间：2014-06-07 20:05

修复时间：2014-09-05 20:06

公开时间：2014-09-05 20:06

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-06-07： 细节已通知厂商并且等待厂商处理中
2014-06-11： 厂商已经确认，细节仅向厂商公开
2014-06-14： 细节向第三方安全合作伙伴开放
2014-08-05： 细节向核心白帽子及相关领域专家公开
2014-08-15： 细节向普通白帽子公开
2014-08-25： 细节向实习白帽子公开
2014-09-05： 细节向公众公开

简要描述：

万户ezOFFICE无限制任意文件上传可getshell3（7处打包）
被说剽窃 真破坏心情

详细说明：

1、
defaultroot/public/editor/tpsc.jsp
2、
defaultroot/public/editor/1_tpsc.jsp
3、
defaultroot/work_flow/formOptJSPUpload.jsp （上传后路径：/defaultroot/work_flow/文件名）
4、
defaultroot/work_flow/formStartJSPUpload.jsp（上传后路径：/defaultroot/work_flow/文件名）
5、
http://oa.polyfilm.net:7001/defaultroot/govezoffice/custom_documentmanager/smartUpload.jsp?path=innerMailbox&fileName=innerMailFileName&saveName=innerMailSaveName&tableName=innerMaildisplaytable&fileMaxSize=0&fileMaxNum=0&fileType=&fileMinHeight=0&fileMinWidth=0&fileMaxHeight=0&fileMaxWidth=0
6、
http://hljxwjtheb.vicp.cc:7001/defaultroot/custom_form/smartUpload.jsp?path=innerMailbox&fileName=innerMailFileName&saveName=innerMailSaveName&tableName=innerMaildisplaytable&fileMaxSize=0&fileMaxNum=0&fileType=&fileMinHeight=0&fileMinWidth=0&fileMaxHeight=0&fileMaxWidth=0

<%
if(request.getParameter("flag") != null){
    myUpload.initialize(pageContext);
    myUpload.upload();
    for(int j=0;j<myUpload.getFiles().getCount();j++){
        com.jspsmart.upload.File myFile = myUpload.getFiles().getFile(j);
        if(!"jsp".equals(myFile.getFileExt())){
            %>
            <script language="javascript">
            alert("<bean:message bundle="workflow" key="workflow.workflowuploadjspfile"/>");
            </script>
            <%
        }else{
            myFile.saveAs("\\work_flow\\" + myFile.getFileName());
            %>
            <script language="javascript">
            opener.document.all.startJSPName.value = '<%=myFile.getFileName()%>';
            window.close();
            </script>
            <%
        }
    }
}
%>


7、
http://hljxwjtheb.vicp.cc:7001//defaultroot/public/jsp/goodsphotoupload.jsp?path=goodspic&visualName=goodsPicName&hiddenName=goodsPicName&del=yes
http://oa.polyfilm.net:7001/defaultroot/public/editor/1_tpsc.jsp
http://www.baidu.com/s?cl=3&wd=Wanhu+ezOFFICE
http://74.125.227.77/#newwindow=1&q=Wanhu+ezOFFICE&start=20

漏洞证明：

44D803BB-D56F-44AD-B7ED-DF18A1CDA5B1.png


7F4404F9-A2E6-4DF8-A924-683CF66F721D.png


http://oa.zjcof.com.cn/defaultroot/public/editor/tpsc.jsp
http://oa.polyfilm.net:7001/defaultroot/public/editor/tpsc.jsp
http://hljxwjtheb.vicp.cc:7001/defaultroot/public/editor/tpsc.jsp
http://61.191.17.216:7001/defaultroot/public/editor/tpsc.jsp
http://222.178.221.54:7001/defaultroot/public/editor/tpsc.jsp
http://lnjoa.vicp.net:88/defaultroot/public/editor/tpsc.jsp
http://219.136.247.248:7001/defaultroot/public/editor/tpsc.jsp

修复方案：

版权声明：转载请注明来源 北京方便面@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-06-11 16:42

厂商回复：

最新状态：

暂无