通达oa后台getshell漏洞复现

作者：支璧瑾

时间：2021-08-24

我来回答

共3个回答

弥倩

回答

0x00 漏洞描述：通达OA 11.2 “组织”-》”管理员”-》附件上传处存在任意文件上传漏洞，结合 “系统管理”-》”附件管理”-》”添加存储目录”，修改附件上传后保存的路径，最终导致getshell 0x01 漏洞影响版本：通达OA 11.2 0x02 漏洞复现 1、下载https://cdndown.tongda2000.com/oa/2019/TDOA11.2.exe，windows下直接点击安装，管理用户admin，密码为空 2、使用admin，密码为空登录，点击”系统管理”-》”附件管理”-》”添加存储目录” 3、点击”系统管理”-》”系统参数信息”-》”OA服务设置”，找到Webroot目录 4、在”系统管理”-》”附件管理”-》”添加存储目录”，添加存储目录收起

2021-10-14

益俐

回答

1.分析一下存在漏洞文件 logincheck_code.php 从代码中我们可以控制的有UID,CODEUID然后判断$login_codeuid是否存在，不存在或者为空就退出，然后将获取的UID，带入到sql语句进行查询，后面会验证查询的结果，如果信息核对正确，则将个人信息放入到SESSION中，UID=1的时候默认是管理员，而UID我们可以输入一个1，就可以满足查询ql,而我们现在要绕过if (!isset($login_codeuid) || empty($login_codeuid)){exit();}，全局搜索一下$login_codeuid可不可以控制 2.分析一下/general/login_code.php，发现存在$login_codeuid 如果$login_codeuid为空，则给$login_codeuid赋一个随机值，并且使用echo打印出来 3.那我们的思路是:先去访问/general/login_code.php,获得$login_codeuid,再去访问logincheck_code.php，同时POST传入获取的$login_codeuid和UID=1,获得返回包的PHPSESSID,在使用火狐浏览器伪造COOKiE,登录后台 4.漏洞复现，将获得的code_uid保存下来，进行下一步，将获取的PHPSESSID保存下来，使用火狐浏览器伪造COOKIE，同时访问/general/index.php，便可以进入后台 5.后台GetShell(靶机环境windows7 通道OA用的是MYOA2017)依次点击系统管理-附件管理-添加存储目录，选择根目录 6.依次点击组织-系统管理员-附件(下图标注) 7.直接上传shell.php不能成功，开启抓包，上传shell.php.进行绕过，windows系统会自动去掉.，不符合windows的命名 8.使用冰蝎进行连接 9.实战(由以上的思路，进入到某站的OA后台管理系统) 收起

2021-10-12

烟源

回答

1、下载https://cdndown.tongda2000.com/oa/2019/TDOA11.2.exe，windows下直接点击安装，管理用户admin，密码为空 2、使用admin，密码为空登录，点击”系统管理”-》”附件管理”-》”添加存储目录” 3、点击”系统管理”-》”系统参数信息”-》”OA服务设置”，找到Webroot目录 4、在”系统管理”-》”附件管理”-》”添加存储目录”，添加存储目录 5、选择 “组织”-》”管理员”-》附件上传 6、直接上传php，上传失败，上传txt文件，上传成功 7、根据返回的结果，拼接文件路径，http://192.168.77.129/im/2009/1028578583.test.txt 8、利用windows系统会自动去掉.，上传test.php.文件进行绕过 9、根据返回的结果，拼接文件路径，http://192.168.77.129/im/2009/1455739474.test.php，菜刀连接，成功getshell 0x03 漏洞修复建议升级版本收起

2021-10-11

其它产品问答

提问

如何解决通达oa在使用过程中出现的问题？

氪友8jRA

回答

您可以通过官方网站提供的问题解答、客服电话或邮件联系客服人员，解决在使用过程中遇到的问题。

2023-06-04

1 个回答

提问

如何购买通达oa的产品与授权？

氪友aFhW