当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0137140

漏洞标题：万户OA系统任意文件上传4处打包可影响公网大量企业OA

相关厂商：万户网络

漏洞作者： 路人甲

提交时间：2015-08-28 17:47

修复时间：2015-11-26 15:50

公开时间：2015-11-26 15:50

漏洞类型：文件上传导致任意代码执行

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-08-28： 细节已通知厂商并且等待厂商处理中
2015-08-28： 厂商已经确认，细节仅向厂商公开
2015-08-31： 细节向第三方安全合作伙伴开放
2015-10-22： 细节向核心白帽子及相关领域专家公开
2015-11-01： 细节向普通白帽子公开
2015-11-11： 细节向实习白帽子公开
2015-11-26： 细节向公众公开

简要描述：

第三处突破了前人没有突破的上传点

详细说明：

万户网络的OA系统用户量非常非常非常非常非常巨大，公网暴露的就至少上千的OA系统！！涉及大量的客户：包括中国国家图书馆、中联重科、美特斯邦威、哈药集团、北京市国资委以及大量政府的OA系统都使用的是万户Ezoffice，并且危害巨大，可直接获取webshell，影响的系统可谓是危害大！
官方部分客户列表：http://**.**.**.**/cn/index_74.html

总结：
第一处：/defaultroot/govezoffice/gov_documentmanager/senddocument_import.jsp  构造参数上传
第二处：/defaultroot/customize/formClassUpload.jsp   无限制任意上传
第三处：/defaultroot/public/jsp/smartUploadPic.jsp  构造参数截断URL和上传的文件名#需服务器支持URL允许存在空字节！
第四处：/defaultroot/work_flow/jsFileUpload.jsp  后门！简直就是后门，只能上传jsp文件！

漏洞证明：

【免责声明：以下为漏洞测试报告非攻击性操作，仅供证明上传漏洞未获取任何有效数据，案例仅供国家互联网应急中心测试使用，其它人不可利用漏洞进行恶意破坏，否则后果自负，漏洞列举的案例在厂商确认后均做打码处理，感谢您的支持与理解！】
【测试表单在测试代码区域】
上传的测试代码内容为：

<%
out.print("Powered by WooYun!");
%>


第一处：/defaultroot/govezoffice/gov_documentmanager/senddocument_import.jsp 构造fileType=jsp来完成上传
利用第一处上传的表单，直接上传jsp文件；直接返回文件名，如图：

c1.png


文件在upload参数设置的“archives”：/defaultroot/upload/archives/

c2.png


案例：

mask 区域 
1.http://**.**.**/defaultroot/govezoffice/gov_documentmanager/senddocument_import.jsp_
2.http://**.**.**/defaultroot/govezoffice/gov_documentmanager/senddocument_import.jsp_
3.://**.**.**/defaultroot/govezoffice/gov_documentmanager/senddocument_import.jsp_
4.://**.**.**/defaultroot/govezoffice/gov_documentmanager/senddocument_import.jsp_
5.http://**.**.**/defaultroot/govezoffice/gov_documentmanager/senddocument_import.jsp


**********************************华丽的分割线************************************
第二处：/defaultroot/customize/formClassUpload.jsp 没有任何限制直接上传，上传后的文件名是原文件名。存在defaultroot/devform/customize/ 目录下

c3.png


c4.png


案例：

mask 区域 
1.http://**.**.**/defaultroot/customize/formClassUpload.jsp_
2.http://**.**.**//defaultroot/customize/formClassUpload.jsp_
3.http://**.**.**/defaultroot/customize/formClassUpload.jsp_
4.http://**.**.**/defaultroot/customize/formClassUpload.jsp_
5.http://**.**.**/defaultroot/customize/formClassUpload.jsp


**********************************华丽的分割线************************************
第三处：/defaultroot/public/jsp/smartUploadPic.jsp 利用第三处的构造参数截断URL和上传的文件名#需服务器支持URL允许存在空字节！文件上传存在/defaultroot/upload/archives/下，
注：如果服务器不支持在GET中存在空字节，那么会出现Bad Request的字样。
**.**.**.**:7001作为测试案例

03.png


04.png


至于哪些服务器允许空字节在GET中截断的案例我不可能一个一个挑出来给你，只能枚举一些，自己测试吧。

mask 区域 
1.http://**.**.**/defaultroot/public/jsp/smartUploadPic.jsp_
2.://**.**.**/defaultroot/public/jsp/smartUploadPic.jsp_
3.http://**.**.**/defaultroot/public/jsp/smartUploadPic.jsp_
4.://**.**.**/defaultroot/public/jsp/smartUploadPic.jsp_
5.://**.**.**/defaultroot/public/jsp/smartUploadPic.jsp_
6.://**.**.**//defaultroot/public/jsp/smartUploadPic.jsp_
7.://**.**.**//defaultroot/public/jsp/smartUploadPic.jsp_
8.http://**.**.**//defaultroot/public/jsp/smartUploadPic.jsp_
9.://**.**.**//defaultroot/public/jsp/smartUploadPic.jsp_
10.http://**.**.**//defaultroot/public/jsp/smartUploadPic.jsp_
11.://**.**.**//defaultroot/public/jsp/smartUploadPic.jsp_
*****ublic/jsp/sma*****
12.://**.**.**/defaultroot/public/jsp/smartUploadPic.jsp_
13.://**.**.**/defaultroot/public/jsp/smartUploadPic.jsp_
14.://**.**.**//defaultroot/public/jsp/smartUploadPic.jsp_
15.://**.**.**//defaultroot/public/jsp/smartUploadPic.jsp_
16.http://**.**.**/defaultroot/public/jsp/smartUploadPic.jsp_
17.http://**.**.**/defaultroot/public/jsp/smartUploadPic.jsp_
18.://**.**.**/defaultroot/public/jsp/smartUploadPic.jsp_
*****ublic/jsp/sma*****
19.://**.**.**/defaultroot/public/jsp/smartUploadPic.jsp_
20.://**.**.**/defaultroot/public/jsp/smartUploadPic.jsp_
21.http://**.**.**/defaultroot/public/jsp/smartUploadPic.jsp_
22.http://**.**.**/defaultroot/public/jsp/smartUploadPic.jsp


**********************************华丽的分割线************************************
第四处：/defaultroot/work_flow/jsFileUpload.jsp 后门，简直就是后门！因为它只允许你上次JSP文件，其它的文件还不能让你上传

c5.png


文件上传在：/defaultroot/devform/workflow/ 原上传文件名。

c6.png


案例：

mask 区域 
1.http://**.**.**/defaultroot/work_flow/jsFileUpload.jsp_
2.http://**.**.**/defaultroot/work_flow/jsFileUpload.jsp_
3.://**.**.**/defaultroot/work_flow/jsFileUpload.jsp_
4.http://**.**.**/defaultroot/work_flow/jsFileUpload.jsp_
5.://**.**.**/defaultroot/work_flow/jsFileUpload.jsp


修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：16

确认时间：2015-08-28 15:49

厂商回复：

CNVD确认并复现所述情况，已由CNVD通过软件生产厂商（或网站管理方）公开联系渠道向其邮件（和电话）通报，由其后续提供解决方案并协调相关用户单位处置。

最新状态：

暂无