当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0126541

漏洞标题:Javaweb架构分析安全之万户ezoffice全版本通杀上传GETSHELL

相关厂商:ezoffice

漏洞作者: 黑暗游侠

提交时间:2015-07-29 15:40

修复时间:2015-10-30 09:26

公开时间:2015-10-30 09:26

漏洞类型:文件上传导致任意代码执行

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-07-29: 细节已通知厂商并且等待厂商处理中
2015-08-01: 厂商已经确认,细节仅向厂商公开
2015-08-04: 细节向第三方安全合作伙伴开放
2015-09-25: 细节向核心白帽子及相关领域专家公开
2015-10-05: 细节向普通白帽子公开
2015-10-15: 细节向实习白帽子公开
2015-10-30: 细节向公众公开

简要描述:

Javaweb架构分析安全之万户ezoffice全版本通杀上传GETSHELL

详细说明:

客户案例(90%),ezOffice管理系统是万户核心系统,基本上客户都会搭建该oa
搭配了ezprotal或者evo,都会配套ezoffice,这系统已经属于标配了,类似买手机总得配耳机:

公共管理与社会组织
中共安徽省委办公厅
安徽省人民政府
固镇县人民政府
内蒙古自治区政府办公厅
六安市人民政府
怀远县人民政府
偃师市委市人民政府
蚌埠市人民政府
绩溪县人民政府
乌海市海勃湾区人民政府
新余市人民政府
泾县人民政府
黔南苗族布依族自治州人民政府
宣城市人民政府
颍上县人民政府
西安市莲湖区人民政府
阜阳市人民政府
颍泉县人民政府
武汉市蔡甸区人民政府
宁国市人民政府
临泉县人民政府
天津静海县人民政府
铜陵市人民政府
阜南县人民政府
广州市海珠区人民政府
界首市人民政府
颍州区人民政府
中原区人民政府
景德镇市人民政府
颍东区人民政府
突泉县人民政府
合肥市庐阳区人民政府
铜陵市铜官山区人民政府
贵州省六盘水市钟山区人民政府
长丰县人民政府办公室
安徽省司法系统
合肥市公安局
亳州市公安局
安徽省人民检察院
蚌埠市公安局
河南省森林公安局
安徽省监狱管理局
淮南市公安局
马鞍山市公安局交警支队
河南省公安厅
安庆市公安局
安徽省劳教局
江西省公安厅
池州市公安局
合肥市未管所
陕西省公安厅
马鞍山市公安局
武警安徽省总队
安徽省水利厅
安徽省财政厅
安徽省交通运输厅
新疆水利厅
铜陵市财政局
黑龙江省公路局
河南省水利厅
蒙城县财政局
济南市公路局
江西省水利厅
无为县财政局
合肥市公路局
山西汾河灌溉管理局
涡阳县财政局
安庆市公路工程处
甘肃省景泰川电力提灌管理局
宣城市宣州区财政局
宿松县建设局
安徽省物价局
安徽省科技厅
三亚市国土局
湖北省物价局
安徽省农业委员会
蚌埠市国土局
铜陵市物价局
安徽省农垦事业管理局
滁州市国土局
内蒙统战部
山西粮食局
阜阳市国土局
邢台统计局
鄂尔多斯林业局
宣城市国土局
怀宁县劳动局
太湖县林业局
安庆市国土局
阜阳市招标局
桐城市农委
定远县国土局
黑龙江海事局
国家级合肥经济技术开发区管委会
安徽省工商联(总商会)
安徽省政府金融工作办公室
烟台海事局
芜湖市鸠江经济开发区管委会
安徽省食品药品监督管理局
蚌埠市高新区管理委员会
湖北省质量技术监督局
交通运输部广州打捞局
阜阳开发区管委会
湖南省保险行业协会
交通运输部救助打捞局
全椒县经济开发区管委会
中国保险监督管理委员会广东监管局
交通运输部北海救助局
六安市叶集区改革发展试验区管委会
中国保险监督管理委员会深圳监管局
交通运输部烟台打捞局
九华山风景区管理委员会
广东保监局汕头监管分局
交通运输部上海打捞局
襄阳高新区管委会
江苏保监局
安徽省蚌埠市蚌埠交通局
长沙经济开发区
江苏标准化研究院
广州白云区交通管理局
广州市荔湾区人民政府逢源街道办事处
安徽省舒城县工商行政管理局
株洲市交通委
贵州省电子政务中心
江苏省产品质量监督检验中心所
广州市人民政府参事室文史馆
中共邳州市信访局
西藏县级政务
中国航天员科研训练中心
宁国市经信委
湖北省民族委
中共六盘水纪律检查委员会 六盘水市监察局
宣城市经信委
柳州市计生委
中国农业机械化科学研究院
长白山旅游局
广州市妇女联合会
北京注册会计师协会
山东临沂供销社
广西壮族自治区人口和计划生育委员会
山西省劳教(戒毒)局
上海市环境监察总队
新余市孔目江生态经济区
新余仙女湖风景名胜区管委会
新余分宜县政府
新余高新技术产业开发区管委会
新余市渝水区政府
驻旌德县政府
叶集试验区管委会
安徽省食品药品监督管理局
铜陵市政府
新余市直党委群团
长沙市芙蓉区政府
安庆市政府
沙河市政府
安徽省粮食局
晋城市煤炭管理局
湖北省沙洋陈家山监狱
丹东边境经济合作区
赣州市公安局
灌南县政府
安徽省淮河河道管理局
铜陵市交通运输局
河池市农业机械化管理局
湘西土家族苗族自治州经济和信息化委员会
六安金安区政府
金寨县政府
阜阳市公安局
南昌市水务局
国家建筑城建机械质量监督检验中心
湖北省供销合作总社
江西省住房和城乡建设厅
通辽市政府
阜阳市政府
蒙城县人大常委会办公室
临汾市住房公积金管理中心
郎溪县政府
舒城县政府
蚌埠市龙子湖区政府
焦作市公安局
南京江宁(国家)经济开发区管委会
沈阳红海滩管委会
长沙市天心区金盆岭街道办事处
河南省公安厅
贵州钟山区人民政府
阜阳市司法局
云南省教育厅
内蒙古司法厅
安徽保监局
安庆市财政局
濮阳市公安局
铜陵市公共资源交易监督管理局
江西省公安厅交通警察总队
新疆维吾尔自治区高级人民法院
江西省国有资产监督管理委员会
呼和浩特市住房保障和房屋管理局
首都机场街道办事处
广东省兴宁市财政局
北京市人民政府国有资产监督管理委员会
安徽省六安市公安局
内蒙古司法厅
内蒙古民政厅
黑龙江省环保厅
安徽池州市政府
湖北大冶市财政局
江西省检察院
天津市中小企业管理局
唐山市住房公积金管理中心
滁州市重点项目建设办公室
安徽省食品药品审评认证中心
新余高新技术产业开发区
新余市仙女湖风景名胜区信息化工作领导小组办公室
中国民用航空华东地区空中交通管理局安徽分局
卫生、社会福利与社会保障
上海市肺科医院
湖南湘雅医院
安徽省卫生厅
上海市口腔病防治院
安徽省立医院
山西省卫生厅
普陀区中心医院
安徽医科大学第一附属医院
内蒙古自治区卫生厅
复旦大学附属眼耳鼻喉科医院
蚌埠市第三人民医院
鄂尔多斯市卫生局
复旦大学附属肿瘤医院
蚌埠医学院第一附属医院
宣城市卫生局
上海质子重离子医院
宁国市人民医院
淮北市卫生局
北京市昌平区医院
淮北市人民医院
首都医科大学附属北京口腔医院
宣城市中心医院
阜阳市卫生局
天津市第一中心医院
铜陵市人民医院
阜阳市颍上县卫生局
天津北辰医院
常州市第一人民医院
阜阳市临泉县卫生局
山西红十字口腔医院
常州市儿童医院
阜阳市颍州区卫生局
山西医科大学第二医院
常州市中心血站
阜阳市民政局
山西省潞安集团总医院
泰安市中心医院
巴东县政府扶贫办
浙江省新华医院
昆山市第一人民医院
广西壮族自治区房改办
重庆国宾医院
大同市第三人民医院
蚌埠市人力资源与社会保障局
湖北省十堰市太和医院
兖州第一人民医院
涡阳县人力资源与社会保障局
宁夏回族自治区人民医院
朝阳中心医院
重庆市石柱县人力资源和社会保障局
黑龙江省农垦宝泉岭管理局中心医院
温州职业技能鉴定中心
广州市健康教育所
内蒙古赤峰学院附属医院
湘西州住房公积金管理中心
广东省职业病防治院
赤峰学院第二附属医院
北京住房公积金管理中心
广东省工伤康复中心
中国中医科学院基础理论研究所
乌鲁木齐高新区高新技术创业服务中心
广州市海珠区疾病预防控制中心
济南银丰医学检验中心
山西红十字口腔医院
中国福利会国际和平妇幼保健院
长沙市第四医院
常州武进区卫生局
莱芜市人民医院
复旦大学附属华东医院
上海市精神卫生中心
中国发展研究基金会
上海中医药大学附属岳阳中西医结合医院
常州市妇幼保健院
十堰郧县人民医院
惠州市中大惠亚医院
珠海市第二人民医院
上海市中西医结合医院
浙江大学医学院附属义乌医院
界首市卫生局
上海市浦东新区人民医院
上海市公共卫生临床中心
复旦大学附属儿科医院
连云港市第二人民医院
复旦大学附属眼耳鼻喉科医院
上海市嘉定区妇幼保健院
黄石市中心医院
南阳医专第一附属医院
上海市同仁医院
十堰房县人民医院
右江民族医学院附属医院
上海市第六人民医院东院
安徽医科大学附属巢湖医院
湖南雅美医疗美容医院有限公司
北京市海淀医院
山西省疾病预防控制中心
湖北黄石中心医院
文化体育与娱乐
国家图书馆
安徽省新闻出版局
蚌埠电视台
安徽省广播电影电视局
解放军出版社
安庆人民广播电台
延庆县文化委员会
安徽日报报业集团
增城市广播电视台
安徽省体育局
解放日报报业集团
枞阳县广播电视中心
广州市地方志编纂委员办公室
山西省出版集团
北京大学会议中心
荔湾区文化广电新闻出版局
江苏赢天下传播有限公司
北京光影梦幻城市发展有限公司
湖南经视文化传播有限公司
南京新与力文化传播有限公司
北京亿阳万泰文化传播有限公司
中广有线芜湖分公司
安徽华伦国际文化发展有限公司
北京国一金典文化传播有限公司
安徽高速传媒有限公司
安徽妙道山旅游开发有限公司
北京数字光魔影院管理有限公司
建荣皇家海洋科普世界(沈阳)有限公司
保利文化集团股份有限公司
北京鸿华绿苑运动休闲中心有限公司
湖南新活动传媒有限公司
兴隆文化园
海南海视旅游卫视传媒有限责任公司
北京华奥信客国际文化传播有限公司
吉视传媒股份有限公司
内蒙古医科大学
天津市委党校
富龙控股
北京长城沃美电影院线有限公司
河北旅投集团
山东星火国际传媒集团有限公司
江苏新华报业传媒集团
中国石油报社
建筑业
中国铁建港航局集团有限公司
北京新奥混凝土集团有限公司
山西西山金城建筑有限公司
合肥建设投资控股(集团)有限公司
北京新航建材集团有限公司
山西西山金信建筑有限公司
合肥市公路桥梁工程有限公司
北京沈飞铝业幕墙工程有限公司
湖南金沙路桥建设有限公司
宁国华普建材股份有限公司
北京一统木业集团有限公司
广州珠江装修工程有限公司
上海新塔星石材发展有限公司
北京灵驰海岳装饰工程有限公司
重庆市基础工程有限公司
杭州荣帮基础工程有限公司
哈尔滨龙庆钢构彩板有限公司
成都市第三建筑工程有限公司
江苏宝利沥青股份有限公司
沈阳益佳家保温工程有限公司
新疆南天城建(集团)股份有限公司
环发建设工程有限公司
奥来国信(北京)工程材料检测有限责任公司
内蒙古金宇集团股份有限公司
北京五洲环球装饰工程设计有限公司
广东泰恒高速公路发展有限公司
江西省建筑材料工业科学研究设计院
长沙市公路桥梁建设有限责任公司
四川茂晖建工集团有限公司
湖北中交咸通高速公路有限公司
北京清尚建筑装饰工程有限公司
三亚市海棠湾开发建设有限公司
上海明联建设工程有限公司
中国对外建设华东分公司
山东纳美安装饰工程有限公司
合肥宝光建材有限公司
安徽铜陵盛友实业有限公司
湖北中能浩天建筑工程有限公司
房地产业
浙江圣大建设集团安徽分公司
福建兴万祥集团
上海城市商业集团有限公司
安徽蓝鼎置地有限公司
佛山市宝盈房地产开发有限公司
上海嘉鹏置业有限公司
安徽瑞沅置地有限公司
佛山市南海海逸锦绣蓝湾房地产开发有限公司
上海君庭置业有限公司
安徽盛通置业股份有限公司
北京广安置业投资公司
上海大发房地产集团有限公司
安徽省中奥博联房地产投资咨询有限公司
北京华远房地产经纪有限公司
上海天昱通房地产开发有限责任公司
合肥鹏远住宅工业有限公司
山西铭基房地产开发有限公司
浙江汇经控股有限公司
合肥蓝盛置业有限公司
山西智诚房地产开发有限公司
黑龙江学伟集团
利港置业发展(合肥)有限公司
山东中润投资控股集团股份有限公司
黑龙江禹泰房地产开发有限责任公司
信地置业(合肥)有限公司
十堰万隆基房地产开发有限公司
哈尔滨亚麻房地产开发公司
淮南民生置业有限公司
东方华峰控股有限公司
利嘉置业有限公司
湖南运达实业集团有限公司
重庆中鹏实业有限公司
嘉兴亿联置业有限公司
陕西安康兴科集团
济宁唐宁置业有限公司
湖北大都地产集团有限公司
安徽亚夏投资有限公司
湖北恒大置业有限公司
曹县恒吉置业有限公司
大连福佳集团
湖南湘体置业有限公司
三亚嘉鹏科技发展有限公司
江苏元龙房地产开发有限公司
重庆兆德投资有限公司
安徽金大地投资控股有限公司
安徽三联实业发展有限公司
扬州博润实业发展有限公司
中建地产辽宁置业有限公司
全椒多金房地产开发有限公司
湖南裕田奥特莱斯置业有限公司
大庆市承宁房地产开发有限公司
山西铭基房地产开发有限公司
湖北恒大置业有限公司
采矿业
紫金矿业集团股份有限公司
山东招金集团有限公司
淮南矿业集团
焦作煤业(集团)有限责任公司
靖远煤业集团有限责任公司
山西西山煤电(集团)有限责任公司
西山煤电(集团)有限责任公司化工厂
山西西山煤电股份有限公司镇城底矿
山西西山煤电股份有限公司太原选煤厂
山西西山煤电股份有限公司
山西西山煤电股份有限公司西铭矿
山西西山煤电股份有限公司屯兰矿选煤厂
山西吕梁西山德威矿业管理有限公司
山西西山煤电股份有限公司马兰矿
山西西山煤电股份有限公司马兰矿选煤厂
鸡西市华丰洗煤集团有限公司
西山煤电(集团)公司屯兰矿
山西西山煤电股份有限公司西曲矿选煤厂
山西大土河焦化有限责任公司
山西焦煤集团有限责任公司杜儿坪矿
山西西山煤电股份有限公司西铭矿选煤厂
昌兴矿业(中国)有限公司
山西焦煤集团有限责任公司东曲煤矿
山西汾西新峪煤业有限责任公司洗煤厂
潞安华亿实业有限公司
山西西山煤电股份有限公司西曲矿
同煤浙能麻家梁煤业有限责任公司
七台河宝泰隆煤化工股份有限公司
山西潞安矿业(集团)公司李村煤矿
河北峰峰集团
南京云海特种金属股份有限公司
北京黔中盛华投资发展有限公司
慈林煤业有限公司
山西汾西新峪煤业有限公司洗煤厂
山西鑫飞能源投资集团有限公司
同煤浙能麻家梁煤业有限公司
郭庄煤业有限责任公司
山西煤炭运销集团大同有限公司党委工作部
福建省新华都工程有限责任公司
北票市富贵鸟矿业有限公司
山西潞安集团古城煤矿
武汉承力程技股份有限公司
中石化江汉石油工程有限公司
制造(电器机械及器材制造)
松下系统网络科技(珠海)有限公司
河南新飞电器有限公司
广东富华工程机械制造有限公司
许继电源有限公司
深圳拓邦股份有限公司
中科风电(北京)有限公司
上海人民企业集团
深圳感臻科技有限公司
北京亿力新能源股份有限公司
朗松珂利(上海)仪器仪表有限公司
深圳圣美歌科技有限公司
格力电器(武汉)有限公司
上海汇益控制系统股份有限公司
深圳哈里通实业有限公司
东莞栢能电子科技有限公司
安徽莱恩电泵有限公司
浙江新龙实业有限公司
广州大百信电子科技有限公司
格力电器(合肥)有限公司
杭州银湖电气设备有限公司
杭州银湖电气设备有限公司
广东海博威视电子科技股份有限公司
合肥华耀电子工业有限公司
江苏通盛换热器有限公司
威海克莱特菲尔风机股份有限公司
合肥晶弘电器有限公司
洛阳润奥电气有限公司
圣航科技股份有限公司
合肥天鹅制冷科技有限公司
镇江环太硅科技有限公司
重庆虎溪电机工业有限责任公司
淮南万泰电子股份有限公司
东营滨龙机电有限公司
山东山大华天科技股份有限公司
合肥荣事达太阳能科技有限公司
贵州航天电器有限公司
广东申菱空调设备有限公司
山西泰宝密封有限公司
杭州鸿世电器有限公司
沈阳东北机电五金城
广元市世畅科技有限公司
深圳拓邦股份有限公司
制造(医药)
江苏恒瑞医药股份有限公司
山东绿叶制药集团
陕西盘龙制药集团有限公司
江苏康缘药业股份有限公司
杭州民生药业集团有限公司
慈铭健康体检管理集团股份有限公司
上海海嘉诺医药发展股份有限公司
浙江众益药业有限公司
北京万特尔生物制药有限公司
长春迪瑞医疗科技股份有限公司
宿州华康医药集团
百济神州(北京)生物科技有限公司
广东信东医药有限责任公司
同路生物制药股份有限公司
兰州生物制药厂
中国医学科学院药物研究所
广东腾骏动物药业股份有限公司
中国药科大学制药有限公司
哈药集团股份有限公司
合肥亿帆生物医药有限公司
制造(汽车)
上海汽车工业销售公司
东风汽车股份有限公司
安徽安凯福田曙光车桥有限公司
上海瑞尔实业有限公司
中国重汽集团济南动力有限公司
安徽江淮专用汽车有限公司
浙江永源汽车有限公司
中联重科股份有限公司
合肥美桥汽车传动及底盘系统有限公司
南京金龙客车制造有限公司
重庆市嘉陵川江汽车制造有限公司
合肥云鹤江森汽车座椅有限公司
吉林希尔工贸有限责任公司
襄阳光瑞汽车零部件有限公司
合肥客车制造有限责任公司
芜湖中集瑞江汽车有限公司
潍柴动力股份有限公司
潍柴动力上海分公司
山东重工集团有限公司
重庆潍柴发动机厂
山东山推机械有限公司
山东山重建机有限公司
扬州亚星客车股份有限公司
广州市龙星行汽车销售服务有限公司
陕西重型汽车有限公司
制造(机械)
中国福马机械集团有限公司
镇江中福马机械有限公司
山重建机有限公司
唐山齿轮集团有限公司
苏福马机械有限公司
河南三联科技工程有限公司
江苏林海动力机械集团公司
华电曹妃甸重工装备有限公司
内蒙古神舟硅业有限责任公司
合肥神马科技股份有限公司
天津华电重工机械有限公司
中国浦发机械工业股份有限公司
百事德机械(江苏)有限公司
山河智能装备股份有限公司
北京云海矿山工程技术有限公司
南京埃斯顿自动控制技术有限公司
安徽江淮银联重型工程机械有限公司
北京爱捷洲际科技有限公司
南京华狮化工有限公司
安徽巨一自动化装备有限公司
北京东方瑞澳医疗设备有限公司
苏州胜利精密制造科技股份有限公司
芜湖爱瑞特环保科技有限公司
北京朗波尔集团
常熟市龙腾特种钢有限公司
芜湖海螺型材科技股份有限公司
广州金升阳科技有限公司
晋西机器工业集团有限责任公司
泰富国际工程有限公司
广州贝晓德传动配套有限公司
湖南昱升工程机械有限公司
栖霞中泰环保设备有限公司
东莞百乐仕汽车精密配件有限公司
大连华锐重工集团股份有限公司
长沙中联重工科技有限公司
陕西重型汽车
潍柴动力扬州柴油机有限责任公司
沈阳机床集团
山河智能装备股份有限公司
制造(其它)
广西柳州钢铁(集团)公司
铜化集团
全力集团
安徽淮化集团公司
山西昆明烟草有限责任公司
上海广电富士光电材料有限公司
安利合成革股份有限公司
北京首钢股份有限公司焦化厂
上海市华信能源控股有限公司
安徽宁国中鼎密封件有限公司
北京三仁宝业科技发展有限公司
上海昌辉投资管理(集团)有限公司
合肥力威汽车油泵有限公司
北京佰依们服饰有限公司
上海唯成电子科技有限公司
安徽晋煤中能化工股份有限公司
北京东华银海印刷有限公司
上海森林特种钢门有限公司
安徽国通高新管业股份有限公司
广东省工业设备安装公司
上海众俊智能科技有限公司(亚芯电子)
安徽华普节能材料股份有限公司
广州中大环境治工程有限公司
上海斯买特实业有限公司
安庆横江实业(集团)公司
广州秀珀化工股份有限公司
上海源天野营旅游用品制造有限公司
安庆南风日化有限责任公司
中山市西威厨房设备制造有限公司
江苏申特钢铁有限公司
铜陵市铜官山化工有限公司
广州陶一郎陶瓷有限公司
湖南御泥坊化妆品有限公司
铜陵江威精密制造有限公司
浙江大自然鞋业有限公司
陕西欣雅纸业有限公司
黄山杜邦华佳化工有限公司
浙江永康哈尔斯真空器皿股份有限公司
陕西斯达煤矿安全装备有限公司
黄山永佳集团有限公司
兰州海红技术股份有限公司
连云港中钢石英公司
黄山永新股份有限公司
山东国瓷功能材料有限公司
七台河隆鹏集团
栖霞中泰环保设备有限公司
蓝格包装材料有限公司
天津市天变阳光变压器有限公司
长沙新振升集团有限公司
闼闼同创工贸有限责任公司
安徽中烟再造烟叶科技有限责任公司
广州泰李汽车座椅有限公司
山西中通管业有限公司
香港雅都实业有限公司
江苏德帮化学工业集团有限公司
新东岳集团有限公司
安徽天地人塑胶有限公司
天津中环半导体股份有限公司
世仓物流设备(上海)有限公司
武汉世纪宇峰厨房设备工程有限公司
威特电梯部件(苏州)有限公司
山东金能科技有限责任公司
新疆五鑫铜业有限责任公司
重庆华联卫生用品有限责任公司
达亚帆布(上海)有限公司
鑫广绿环再生资源股份有限公司
广州百视通眼镜超市有限公司
北京汇众实业总公司
宁波南海化学有限公司
常德芙蓉烟叶复烤有限责任公司
南京中钞长城金融设备有限公司
河北凯跃化工集团有限公司
深圳紫金环球金属交易中心
中谷琪珑集团有限公司
电力、燃气、供水业
河北水务集团
大唐集团安徽分公司
中油首汽石油销售有限公司
宁波市自来水总公司
大唐陈村水力发电厂
上海浦航石油有限公司
太原市自来水公司
大唐淮北发电厂
万向加油站
瑞安市市区自来水公司
大唐淮南田家庵发电厂
山西煤炭运销集团有限公司
楚源水电投资集团有限公司
大唐安庆生物质能发电有限公司
湖北省煤炭投资开发有限公司
甘肃省天祝藏族自治县电力局
马鞍山当涂发电有限公司
安徽省天然气开发有限责任公司
中机国能电力工程有限公司
皖能(合肥)发电有限公司
成都深燃天然气有限公司
华润电力控股有限公司河南分公司
皖能集团马鞍山电力公司
马鞍山港华燃气公司
富裕县富鹤供热公司
广东宝丽华电力有限公司
湖北能源集团股份有限公司
黑龙江星辰热力发展股份有限公司
中国庆华能源集团有限公司
山东渤海油脂工业有限公司
湖南泰通电力科技有限公司
安徽省能源集团有限公司
齐鲁石化济南办事处
博思特能源装备(天津)股份有限公司
北京三兴汇生石油科技有限公司
安徽驰纬电气有限公司
山西南方川建电力有限公司
常州港华燃气有限公司
皖能铜陵发电有限公司
皖能合肥发电有限公司
淮北国安电力有限公司
科学研究、技术服务、地质勘查业
中国船舶重工集团第七二五研究所
北京市测绘设计研究院
内蒙古自治区科学技术协会
中国计量科技研究院
北京奥瑞安能源技术开发有限公司
新疆华瀚智能系统工程有限公司
中国科学院地理科学与资源研究所
北京蓝天大地生物技术开发有限公司
山西三佳新能源科技集团有限公司
中包包装研究院有限公司
北京长城华冠汽车技术开发有限公司
成都森龙信息科技有限责任公司
中国烟草总公司合肥设计院
北京卓泰天下科技有限公司
太原市慧友科贸有限公司
广东海事局海测大队
捷思锐科技(北京)有限公司
青岛太平洋海洋工程有限公司
广州机械科学研究院
东方蓝天钛金科技有限公司
河南信安通信技术有限公司
广州市白云区科学技术局
惠州市易道科技有限公司
上海前山管道技术有限公司
浙江伟明集团
青岛太平洋海洋工程有限公司
上海力信电气技术有限公司
河南航天液压气动技术有限公司
国电四维
北京易科路通铁道设备有限公司
苏州嘉图信息技术有限公司
金电联行(北京)信息技术有限公司
北京突破电气有限公司
湖南省核工业地质局放射性核素检测中心
上海上阳流体科技有限公司
辽宁邮电规划设计院
重庆中科盛弘科技集团有限公司
安徽格图通讯系统工程有限公司
安徽国祯环保节能科技股份有限公司
武汉大功率机车检修段
深圳市捷顺科技实业股份有限公司
交通运输、仓储邮政业
中国海洋航空集团公司
中联理货有限公司
上海春秋航空有限公司
北京首汽(集团)股份有限公司
广西壮族自治区港航管理局
上海外高桥国际物流有限公司
中铁联合物流股份有限公司
郴州市道路运输管理处
上海铁路局合肥供电段
中海集装箱运输股份有限公司
江苏高速公路联网营运管理有限公司
西安铁路局安康车辆段
中海船务代理有限公司
江苏大丰海港控股集团有限公司
武汉铁路局武昌客车段
沪杭甬高速公路股份有限公司
江苏新天国际货运代理有限公司
深圳市盐田港集团有限公司
芜湖港储运股份有限公司
江苏启东道达重工(集团)有限公司
深圳华强供应链管理有限公司
合肥城市轨道交通有限公司
南京远洋运输股份有限公司
广州南沙港务有限公司
蚌埠市交通投资集团有限公司
苏州中集国际供应链有限公司
广州市卓志物流服务有限公司
蚌埠市蚌固一级公路开发有限公司
苏州天天物流有限公司
广州港南沙港务有限公司
安徽迅捷物流有限责任公司
苏州港太仓区美锦码头
广东华路交通科技有限公司
宿州汽车运输有限公司
太仓港正和集装箱码头有限公司
广东合捷国际供应链公司
北京大白熊商务航空有限责任公司
泰州兴舟船舶科技有限公司
东莞华利运输集团有限公司
嘉友国际物流(北京)有限公司
镇江港大港港区四期工程码头
宁波光明码头有限公司
西北民航机场建设责任有限公司
镇江港务集团有限公司
宁波港兴国际货运代理有限公司
烟台中联物流园有限公司
内蒙古华蒙通物流控股有限公司
重庆万州机场有限责任公司
西山煤电(集团)有限责任公司铁路公司
江西国中安智物流有限公司
北京汉宇航空有限公司
天津市鹏峰汽车贸易有限公司
天津中运海运集团有限公司
聊城交运集团有限公司
日照港股份有限公司
长春客运中心
华蒙通物流控股有限公司
安徽皖江物流集团股份有限公司
金融业
银联商务有限公司
渤海证券股份有限公司
中信银行
中煤财产保险股份有限公司
爱建证券有限责任公司
齐鲁银行股份有限公司
安徽国元信托投资有限责任公司
无锡华英证券有限公司
招商信诺人寿保险有限公司
合肥华安证券有限公司
开源证券有限公司
中国民生银行武汉分行
安徽和县农村信用合作联社
上海银商资讯有限公司
人民银行内蒙古阿拉善中心支行
蚌埠投资集团
上海润邦投资集团有限公司
中国工商银行德州分行
安徽嘉润投资控股集团有限公司
筑玖投资发展(上海)有限公司
泌阳县农信社
北京全唐投资管理有限公司
上海三林投资发展有限公司
东莞市农村信用合作联社
北京金力控股集团有限公司
上海付费通信息服务有限公司
肥东县农村信用合作联社
北京汽车财务集团有限公司
广州市鹏融投资管理有限公司
天津滨海银行
北京中硕投资担保有限公司
大业信托有限责任公司
东莞农村商业银行股份有限公司
北京金汇兴业投资管理有限公司
佛山市南海区联诚投资发展有限公司
安徽省农村信用社联合社
中城福润(北京)投资控股有限公司
广东东创投资控股有限公司
安徽岳西农村合作银行
沈阳市沈北新区华泰小额贷款有限责任公司
广州壹马交通投资有限公司
绩溪县农村商业银行
江苏永隆资产管理有限公司
滨海投资(天津)有限公司
江苏民丰农商银行
南京圣和投资集团
天津渤海海胜股权投资基金管理有限公司
湖南省保障性安居工程投资有限公司
湖南长海投资置业控股集团有限公司
四川天坤投资管理有限公司
湖南富兴集团有限公司
武汉名道资源投资控股有限公司
江苏润扬投资管理股份有限公司
深圳市红岭创投电子商务股份有限公司
和乔集团
慧金商业保理(上海)有限公司
中国保险信息技术管理有限责任公司
通联支付网络服务股份有限公司
黑龙江农村信用社
哈尔滨汇丽投资有限公司
新余市城市建设投资集团有限公司
湖南豪瑞投资开发有限公司
湖南波隆投资集团股份有限公司
北京文化科技融资担保有限公司
硅谷天堂资产管理集团股份有限公司
安徽东辰投资有限公司
安徽省投资集团控股有限公司
爱建证券有限责任公司
蒙城农村商业银行
含山农村商业银行
深圳市瑞达投资有限公司
东莞农村商业银行股份有限公司
北京保利剧院管理有限公司
中央国债登记结算有限责任公司
北京昭德投资有限公司
上海红歆财富投资管理有限公司
中原银行
天津市北辰区农村信用合作社
制造(农副食品、食品、饮料)
内蒙古伊利实业集团股份有限公司
光明乳业股份有限公司
李锦记健康食品集团(无限极(中国)有限公司)
安徽中烟再造烟叶科技有限责任公司
富氏食品(中国)有限公司
华嘉食品有限公司
安徽达诺乳业有限公司
华润雪花啤酒(山东、滨州、聊城)有限公司
浙江省粮油食品进出口股份有限公司
宣酒集团
重庆有友实业有限公司
安徽真心食品有限公司
江苏汤沟两相和酒业有限公司
四川易泰多科技有限责任公司
安徽阿幸食品有限公司
朗源股份有限公司
上海市农产品质量安全中心
安徽詹氏食品有限公司
武汉亚太调味食品有限公司
安徽溜溜果园科技有限公司
安徽汤臣倍健保健品推广服务有限公司
武汉仟吉食品有限公司
安徽金禾实业股份有限公司
亳州良夫面粉厂
北京二商集团有限责任公司
内蒙古圣牧高科牧业有限公司
内蒙古民丰薯业有限公司
哈尔滨天手食品有限公司
味好美(武汉)食品有限公司
买买酒
信息传输、计算机服务与软件业
东方电子集团有限公司
话机世界数码连锁集团股份有限公司
西藏电信
北京乐语世纪科技集团有限公司
上海家有购物商务有限公司
西藏电信二级单位
北京网聘咨询有限公司
上海感信信息科技有限公司
安徽四创电子股份有限公司
鹏博士电信传媒集团
南京吉隆光纤通信有限公司
重庆市农产品集团电子商务有限公司
兴唐通信有限公司
南京丰盛新能源科技股份有限公司
世纪龙信息网络有限责任公司
北京迪特卡得通信设备有限公司
联通时科(北京)信息技术科技有限公司
深圳锐明视讯技术有限公司
北京福星晓程电子科技股份有限公司
北京宏泰博科信息技术有限公司
深圳市捷电科技有限公司
北京天威诚信电子商务服务有限公司
北京目标在线科技有限公司
广东中南元建网络工程有限公司
北京千橡网景科技发展有限公司
博涛同创(北京)科技有限公司
广州中望龙腾软件股份有限公司
广州市景览数码科技有限公司
武汉三力通信有限责任公司
研祥智能科技股份有限公司
长沙凯能数码科技有限公司
中国铁通集团安徽分公司
山东路科公路信息咨询有限公司
云南南天电子信息产业股份有限公司
北京日升天信科技股份有限公司
云南龙达网络信息科技有限公司
水利、环境与公共设施管理
浙江盾安控股集团有限公司
湖南水总水利水电建设有限公司
北京北科环境工程有限公司
安徽国祯集团股份有限公司
湖南凯天环保科技股份有限公司
北京中电联环保工程有限公司
长沙市富安再生资源有限公司
湖南华宇水利水电建设工程有限公司
肇庆高新区粤海水务有限公司
平湖市水利局
武汉云峰再生资源有限公司
安徽盛运环保工程有限公司
皖能环保有限公司
安徽金大地商业管理公司
温州生态园管委会
安徽蒙城经济开发区
安徽省墙体材料革新和建筑节能领导小组办公室
湖南省水利水电第一工程有限公司
四川林盛装饰设计工程有限公司
农林牧渔
北京顺鑫农业股份公司
合肥丰乐种业股份有限公司
佛山满堂和顺茶文化有限公司
北大荒垦丰种业股份有限公司
安徽天达饲料集团
上海市川东农场
山东金正大生态工程股份有限公司
安徽一笑堂茶业有限公司
上海农业信息有限公司
重庆千帆园林景观工程有限公司
安徽恩龙园林股份有限公司
中国吉林森工集团
制造(服装)
上海美特斯邦威服饰股份有限公司
红豆集团
福建才子集团有限公司
北京佰依们服饰有限公司
江苏海澜集团公司
卡宾服饰(中国)有限公司
重庆市名瑞服饰连锁有限公司
上海拉夏贝尔服饰股份有限公司
福建省优拓贸易有限公司(华美)
达利丝绸(浙江)有限公司
杭州光凯服饰有限公司
广州市双鱼体育用品集团有限公司
大宇(集团)布业有限公司
卓尚服饰(杭州)有限公司
广州今誉服饰有限公司
安徽鸿润(集团)股份有限公司
浙江婉甸服饰有限公司
广州市索典服饰有限公司
安徽华茂集团
上海慕丰实业有限公司
东莞市新思路内衣有限公司
泉州海博贸易有限公司
广州市格风服饰有限公司
快鱼服饰有限公司
广东博斯服饰实业有限公司
江苏红豆实业股份有限公司
广州市皑如服装设计有限公司
凯纳尔国际贸易有限公司
湖南梦洁家纺股份有限公司
重庆蓝蝶服饰有限公司
教育
云南省教育厅
铁道部党校
哈尔滨理工大学
丽水市教育局
中共安徽省委党校
西安交大
武汉市洪山区教育局
淮北师范大学
湖北省工业大学
温州市瓯海区教育局
安徽天象集团
温州科技职业学院
温州市龙湾区教育局
安徽师范大学附属小学
南通纺织职业技术学院
温州市鹿城教育局
芜湖一中
广州松田职业学院
台州市教育局
安庆二中
广东岭南职业技术学院
安庆市迎江区教育局
安庆四中
广东省电子信息技工学校
亳州谯城区教育局
安庆职业技术学院
云浮市技工学校
潜山县文化局
枞阳县会宫中学
广州市海珠区树华美术培训中心
广州市青年文化宫
哈尔滨华德学院
广州市第一一三中学
广州市教育研究所
哈尔滨市汽车驾驶学校
华中科技大学远程与继续教育学院
保利影业投资有限公司
沈阳楷博教育培训学校
中国戏曲学院附属中等戏曲学校
北京神墨教育机构
北京世纪明德教育科技有限公司
北京尚德智业教育咨询中心
成功之道教育机构
北京二十一世纪金星教育科技有限公司
北京市崇文区职工大学
东方国际教育交流中心
苏州大学
浙江省温州市教育网络工程有限公司
青海卫生职业技术学院
宁波工程学院
吉林大学
天津青年职业学院
乌鲁木齐头屯河区教育局
哈尔滨体育学院
太原大学
温州市教育局
常州旅游商贸高等职业技术学校
居民服务与其他服务
都江堰农产品交易中心
山西同至人劳务派遣服务有限公司
上海米岚城市奥莱企业管理有限公司
济南宏泰物业有限公司
昆山商厦股份有限公司
纳玛特康而健健身(上海)有限公司
广州市天河供用站
运城市盐湖区宇翔广告有限公司
北京京龙大厦物业管理有限责任公司
北京华联集团
租赁和商务服务业
天一金行贵金属经营有限公司
九华山旅游股份有限公司
上海申通地铁资产经营管理有限公司
狮桥融资租赁(中国)有限公司
中山市旅游集团有限公司
武汉国有资产经营公司
山西荣昌盛投资有限公司
河南中原铁道旅游集团有限责任公司
鑫城国有资产有限公司
山东大唐物业管理有限公司
安徽好之旅国际旅行社有限公司
江苏东恒国际集团有限公司
山东文康商贸有限公司
安徽三户装饰
江苏中住物业服务开发有限公司
北京奥之杰汽车服务中心
合肥创和资产管理有限责任公司
上海同济工程咨询有限公司
北京泰格斯特国际展览展示有限公司
桐城市太阳城购物中心
上海豫园旅游商城股份有限公司
北京中润达会计事务所有限公司
深圳市森美丽服装连锁店有限公司
上海旗威投资管理有限公司
浙江东方神州珠宝有限公司
广州注意力公关顾问有限公司
唐山盛世国际汽车园发展有限公司
嘉丽购物有限责任公司
广州法德美化妆品有限公司
哈尔滨家得乐商贸有限公司
上海春秋国际旅行社有限公司
湖北华垚拍卖有限公司
天津市诚信招标有限公司
成都博朗房地产营销策划有限公司
太原新西城购物广场有限公司
保利香港拍卖有限公司
四川众望安全环保技术咨询有限公司
山东省银河伟业物业管理公司
廊坊市新朝阳购物中心
惠州市丽日购物广场
安徽大胜集团
泰安中泰金桥商业管理有限公司
黄山中海国际旅行社管理公司
北京汉思科营销策划有限责任公司上海分公司
上海渥德酒店管理有限公司
艾迪能新科(北京)油气技术有限公司
嘉实(厦门)融资租赁有限公司
浙江高乐旅游文化产业有限公司
工银安盛人寿保险有限公司
住宿与餐饮业
宁夏华祺饭店有限公司
深圳万味源餐饮管理有限公司
浙江湖州老娘舅餐饮管理有限公司
北京天开瑞祥不老山庄
山东神龟餐饮管理有限公司
新疆乌鲁木齐阳光酒店
批发与零售业
浙江宝利德控股集团有限公司
中国进口汽车贸易有限公司
上海嗳呵母婴用品国际贸易有限公司
合肥周谷堆农产品批发市场股份有限公司
上海行家商贸有限公司
上海嗳蓓錇化妆品有限公司
无锡市吉丰贸易有限公司
北京天凯力邦贸易有限责任公司
佛山市顺德区爱护商贸有限公司
哈尔滨鑫天翔电气设备经销有限公司
武汉凯成国际贸易有限公司
上海汽车工业销售有限公司
湖北银丰实业集团
上海卓恒生物科技有限公司
安徽腾辉投资集团有限公司
广东俊诚汽车集团股份有限公司
浙江省五金矿产进出口有限公司
山西西山煤电贸易有限责任公司
内蒙古华元医药有限公司
怡景丽家市场开发有限公司
广东罗浮宫家居集团
济南华联商厦集团股份有限公司

漏洞证明:

ezOffice分政务版和企业版
你用了ezportal+ezoffice或者ezflow+ezoffice要搞清楚的是各个系统并不是在同一台服务器上,可能分布在2台不同的服务器上
你拿下了ezportal不一定shell也有ezoffice,反向同理
不过核心平台的shell拿下,各种oa、敏感信息、配置文件都会泄露
可以内网漫游了
具体可以参考我下一个漏洞(对某核心宽带的内网漫游,也算是对该通用的一个实际攻击案例的重放)
本次漏洞过程还是从ezOfiice的架构设计出发
官网的介绍:

运行在windows、linux、unix、AIX、solaris等多种操作系统上、支持IBM websphere、ORACLE weblogic、tomcat等、支持oracle、sqlserver、DB2、mysql、sybase等多种关系型数据库。


通过google和zoomeye的分析
发现ezOffice的搭建平台:

Windows(几乎所有)
Linux(极少数)
其他(没出现。。。)


然后就是分平台来看
对不同的web服务器、中间件
apache、tomcat、websphere、nginx、resin、libhttpd、jboss、weblogic等进行不同的方法
拿uploder.jsp这个最新版本的文件代码示例:

<%@ page contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%>
<%@ page import="java.io.File" %>
<%@ page import="java.io.IOException" %>
<%@ page import="java.text.SimpleDateFormat" %>
<%@ page import="java.util.*" %>
<%@ page import="org.apache.commons.fileupload.FileItem" %>
<%@ page import="org.apache.commons.fileupload.FileUploadException" %>
<%@ page import="org.apache.commons.fileupload.disk.DiskFileItemFactory" %>
<%@ page import="org.apache.commons.fileupload.servlet.ServletFileUpload" %>
<%@ page import="org.apache.commons.net.ftp.FTPClient" %>
<%@ page import="com.whir.ezoffice.customForm.WorkFlowUploadFile" %>
<%@ page import="com.whir.ezoffice.netdisk.bd.NetdiskBD" %>
<%@ page import="com.whir.ezoffice.microblog.util.CutPhotoSize" %>
<%@page import="com.whir.component.security.crypto.EncryptUtil"%>
<%
request.setCharacterEncoding("UTF-8");
response.setContentType("text/json;charset=UTF-8");
response.setHeader("Cache_Control", "no-cache");
if(session.getAttribute("userName")!=null){
String domainId = session.getAttribute("domainId")!=null?session.getAttribute("domainId").toString():"0" ;
// 磁盘绝对路径
String path = request.getRealPath("");
// 模块文件夹
String dir = request.getParameter("dir")!=null?request.getParameter("dir"):"dir";
String makeYMdir = request.getParameter("makeYMdir")!=null?request.getParameter("makeYMdir"):"yes";
// 年月文件夹
Date now = new Date();
SimpleDateFormat sdf = new SimpleDateFormat("yyyy-MM-dd");
String str_date = sdf.format(now);
String year = str_date.substring(0,4);
String month = str_date.substring(5,7);
// 绝对路径
//如果dir以/开头,则不放在upload下,属于自定义上传目录
if(dir.length() > 0 && dir.indexOf("/") == 0){
path = (path + dir);
}else{
String path1 = path + "/upload/"+dir+"/";
path = makeYMdir.equals("yes")?(path + "/upload/"+dir+"/" + year+month+"/"):(path + "/upload/"+dir+"/");
//创建文件夹

if(makeYMdir.equals("yes")){
File file = new File(path1);
if (file.exists()) {
File file2 = new File(path);
if (!file2.exists()) {
file2.mkdirs();
}
}
}
}
String rootPath = com.whir.component.config.PropertiesUtil.getInstance().getRootPath();
String preUrl = rootPath;
//是否为FTP上传
boolean isFtpUpload_ = false;
Map ftpMap = new HashMap();
Map sysMap = com.whir.org.common.util.SysSetupReader.getInstance().getSysSetupMap(domainId);
if (sysMap != null && sysMap.get("附件上传") != null && sysMap.get("附件上传").toString().equals("0")) {
String fileServer = com.whir.component.config.ConfigReader.getFileServer(request.getRemoteAddr());
ftpMap = com.whir.component.config.ConfigReader.getUploadMap(request.getRemoteAddr(), domainId);
preUrl = fileServer;
isFtpUpload_ = true;
}
// request中参数部分
String isEncrypt = (String)sysMap.get("加密存储");
//customize biz import datas
boolean isDeleteFile = true;
if ("datas".equals(dir) || "fileimport".equals(dir) || dir.indexOf("custom/ezform/ext")!=-1 || dir.indexOf("modulesext/devform")!=-1) {
isEncrypt = "0";
isDeleteFile = false;
}
//相对路径
String relative_path = makeYMdir.equals("yes")?(preUrl+"/upload/"+dir+"/"+ year+month+"/"):(preUrl+"/upload/"+dir+"/");// /defaultroot/upload/dir/201303/
if(dir.indexOf("/") == 0){
relative_path = preUrl+dir;
}
ServletFileUpload sfu = new ServletFileUpload(new DiskFileItemFactory());
String fileName = "",sourcePath="",fileNameStr = "",json="";
try {
List fileList = sfu.parseRequest(request);
String name = "";
String extName = "";
for (int i = 0; i < fileList.size(); i++) {
FileItem fi = (FileItem) fileList.get(i);
if (!fi.isFormField()) {
name = fi.getName();
//System.out.println("name1:"+name);
if(name.lastIndexOf("\\")>=0){
name = name.substring(name.lastIndexOf("\\")+1);
}
//System.out.println("name2:"+name);
if (name == null || "".equals(name.trim())) {
continue;
}
if (name.lastIndexOf(".") >= 0) {
extName = name.substring(name.lastIndexOf("."));
}
String checkExtName = ("" + extName).toLowerCase();
//System.out.println("extName:"+checkExtName);
//if(",innerMailbox,information,peopleinfo,weibo,taskCenter,taskcentermodel,boardroom,govdocumentmanager,contract,forum,dossier,project,projectmodel,ptrain,workreport,goodspic,".indexOf(","+dir+",") != -1){
if(dir.indexOf("/custom/ezform/ext/") == -1 && dir.indexOf("/modulesext/devform/customize/") == -1 && dir.indexOf("/modulesext/devform/workflow/") == -1 && dir.indexOf("/ezoffice/form/") == -1 && dir.indexOf("/ezoffice/formhandler/") == -1){
if(",.jsp,.jspx,.asp,.aspx,.bat,.cmd,.exe,.ocx,.cab,.dll,.js,.html,.htm,.php,.action,.msi,.scr,.com,.class".indexOf(extName)!=-1){
continue;
}
}
//如果dir以/开头,则保持原文件名,属于自定义上传目录
String myRandom=new com.whir.common.util.Random().getRandom();
if(dir.indexOf("/") == 0){
fileName = name;
myRandom = name.substring(0,name.lastIndexOf("."));
}else{
fileName = myRandom + extName;
}
//sourcePath = (path + fileName).replaceAll("/","\\\\");
sourcePath = (path + fileName).replaceAll("\\\\","/");
//保存
File saveFile = new File(sourcePath);
fi.write(saveFile);
fileNameStr += fileName + ",";
//文件大小
int fileSize = (int)fi.getSize();//837494
com.whir.common.util.UploadFile upFile=new com.whir.common.util.UploadFile();
upFile.setFileSize(fileName, fileSize, dir, request, "1".equals(isEncrypt)?true:false);//upFile.getFileSize(fileName);//817.86K
//生成缩略图
String imgType = "*.jpg;*.jpeg;*.gif;*.png";
if(imgType.indexOf(extName.toLowerCase())>0){
CutPhotoSize _cutPhotoSize=new CutPhotoSize();
//缩略图信息,格式:150x150_small;300x300
String thumbnail = request.getParameter("thumbnail")!=null?request.getParameter("thumbnail"):"";
if(!thumbnail.equals("")){
String[] thumbnail_arr = thumbnail.split(";");
//循环数组元素
for(int m =0; m<thumbnail_arr.length; m++){
String width = thumbnail_arr[m].substring(0,thumbnail_arr[m].indexOf("x"));
String height = thumbnail_arr[m].substring(thumbnail_arr[m].indexOf("x")+1,thumbnail_arr[m].indexOf("_")>0?thumbnail_arr[m].indexOf("_"):thumbnail_arr[m].length());
String shortName = thumbnail_arr[m].indexOf("_")>0?thumbnail_arr[m].substring(thumbnail_arr[m].indexOf("_")+1,thumbnail_arr[m].length()):thumbnail_arr[m];
String newFileName = myRandom+"_"+shortName+extName ;
String newSourcePath = (path+newFileName).replaceAll("\\\\","/");
//System.out.println("extName.toLowerCase():"+extName.toLowerCase());
if (!".gif".equals(extName.toLowerCase())) {
//System.out.println("进入scaleImage");
_cutPhotoSize.scaleImage(sourcePath,newSourcePath,Integer.parseInt(width),Integer.parseInt(height));
}else{
//System.out.println("进入getGifImage");
_cutPhotoSize.getGifImage(sourcePath,newSourcePath,Integer.parseInt(width),Integer.parseInt(height),true);
}
//是否为FTP上传
if (isFtpUpload_) {
WorkFlowUploadFile.buildList(dir,(dir.indexOf("/") == 0) ?"":(year + month),ftpMap.get("server").toString(),ftpMap.get("user").toString(),ftpMap.get("oriPass") + "whir?!");
com.whir.govezoffice.documentmanager.common.util.NewFtpClient ftpClient1 = new com.whir.govezoffice.documentmanager.common.util.NewFtpClient(
ftpMap.get("server").toString(),ftpMap.get("port").toString(),ftpMap.get("user").toString(),ftpMap.get("oriPass") + "whir?!",newSourcePath,newFileName, (dir.indexOf("/") == 0) ? dir:(makeYMdir.equals("yes")?(dir+"/" + year + month):(dir)));
ftpClient1.upload2();
//如果是ftp上传,删除应用下的临时附件
File newSaveFile = new File(newSourcePath);
newSaveFile.delete();
}
}
}
}
//是否为FTP上传
if (isFtpUpload_) {
WorkFlowUploadFile.buildList(dir, (dir.indexOf("/") == 0) ?"":(year + month),ftpMap.get("server").toString(),ftpMap.get("user").toString(),ftpMap.get("oriPass") + "whir?!");
com.whir.govezoffice.documentmanager.common.util.NewFtpClient ftpClient1 = new com.whir.govezoffice.documentmanager.common.util.NewFtpClient(
ftpMap.get("server").toString(),ftpMap.get("port").toString(),ftpMap.get("user").toString(),ftpMap.get("oriPass") + "whir?!",sourcePath,fileName, (dir.indexOf("/") == 0) ? dir:(makeYMdir.equals("yes")?(dir+"/" + year + month):(dir)));
ftpClient1.upload2();

//如果是ftp上传,删除应用下的临时附件
if(isDeleteFile){
saveFile.delete();
}
}
EncryptUtil util = new EncryptUtil();
String dlcode = util.getSysEncoderKeyVlaue("FileName",myRandom+extName,"dir");
json += "{id:\"\",master:\"\",dlcode:\""+dlcode+"\",file_type:\""+extName+"\",save_name:\""+myRandom+"\",file_name:\""+name.substring(0,name.lastIndexOf("."))+"\",relative_path:\""+relative_path+"\"}";
}
}
//返回json字符串
out.print(json);
} catch (FileUploadException e) {
e.printStackTrace();
} catch (Exception e) {
e.printStackTrace();
}
}
%>|<-->|


基本上所有的上传点和该上传点都类似,就拿这一处来分析
其他的地方同理参考
所有上传点均取消了之前存在缺陷的typefile参数
余下的参数:
dir= //自定义上传路径,默认upload目录下,(这里存在缺陷后面讲,针对linux平台的)
makeYMdir=no //不进行日期重命名
然后过滤了非法的后缀
首先对于
# Windows
对于windows是几乎所有ezoffice的标配,都搭建在微软的windows上,也是最快捷方便的getshell,管你什么乱七八糟的中间件、服务器,一律不管,直接上传通杀
包括你旧版本的什么singleuplosd、hotupload等一堆乱七八糟的上传
还是修复以后、删的删、改的改的上传
不管你是需要登录的还是不需要登录的上传
windows下可以直接利用ADS文件流来突破所有防御

POC:
shell.jsp::$DATA


最新版ezOffice,Getshell也就是那么一瞬间:

4.png


这个呢,主要还是利用了该javaweb的特性,几乎所有的均搭建在windows平台
那么对于其他很小部分的
# Linux
同样也给出方案,毕竟万一碰到了怎么办
ezOffice基于Servlet 2.5和java 2.1
如果是apache,基本架构就是Apache+Tomcat+JDK(tomcat作为解释器,servlet容器)
jsp、jspx不能上传
但是shell.jsp.eee,shell.jsp.wooyun都不在黑名单内
利用解析漏洞来突破
或者上传一个.htaccess来解析getshell,方法很多
如果是nginx静态资源,肯定是搭配jetty或者tomcat来处理servlet
出于性能考虑,该架构基本难碰到
碰到了还是利用解析漏洞来绕过
如果再碰到更少的weblogic、websphere或者resin等
可以利用jspf或者其他特性conf、xml配置等文件来拿shell
所以前面的自定义目录就有用了
默认的一个"/"上传的是defaultroot目录
如果是"../../",非"/"开头,则makeYMdir设置为no也会以日期来重命名该文件
所以对该处突破要利用

/../../..


格式来进行任意非黑名单文件名(conf\config\properties\htaccess\xml)的任意目录上传
来看对比图

5.png


6.png


7.png


但是windows下并不能跨盘,比如在D盘,不能跨到C盘去,但是windows已经通杀了,还管这个有什么用呢,所以放在linux下讲
linux下所有目录均可以,通过该缺陷覆盖配置文件或者自定义规则来Getwebshell
(End)

修复方案:

版权声明:转载请注明来源 黑暗游侠@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2015-08-01 09:24

厂商回复:

cnvd确认并复现所述情况,已经由cnvd向软件生产厂商万户网络公司以往联系渠道邮箱通报。万户网络公司已经收悉,同时已经反馈称正在及时处置,建议用户关注其官方网站发布的最新补丁情况。根据实测案例,已经同步向各分中心下发。

最新状态:

暂无