近期漏洞分析
2023-5-19 14:0:34 Author: 仙友道(查看原文) 阅读量:762 收藏

近期漏洞有点多,简单分析学习一下

  • 泛微E-Cology 信息泄露 & 任意用户登录 & Sql注入

  • 海康威视IVMS-8700综合安防任意文件上传

  • 用友NC 反序列化

泛微 E-Cology  

信息泄露  

        

Type传getLoginid,mobile模糊查询,

  • 查到0个用户回显{"status":"-1"}

  • 查到只有一个用户的时候就显示loginid

  • 查到多个用户回显{"status":"0"}

这里的loginid就是登录名/用户名

任意用户登录  

/mobile/plugin/1/ofsLogin.jsp

loginTokenFromThird为sign签名,AES加密,key为Prop.getPropValue("transferE9","secretkey"),从配置文件中读取, 如果相等则执行SQL

在hrmtransrule表查syscode,查不到=1,

根据loginid继续查用户,查到返回session

CheckServer Sql注入  

/mobile/plugin/CheckServer.jsp?type=mobileSetting

直接跟进syncMobileSetting

将传入的setting转换为json在转换为list,scope和module为int

Module不等于1,2,3,7,8,9,10时,进入saveMobileDocSetting方法

先判断是否以@开头,然后去除@以#分割,再以|分割子字符串

将得到的第一个字符串url解码拼接进var18执行sql

海康威视IVMS-8700综合安防  

任意文件上传  

漏洞路径/eps/api/resourceOperations/upload

查看web.xml,以action结果或者以/api/开头的接口全走springmvc

找到ResourceOperationAction类

com.hikvision.cms.eps.biz.operation.action.ResourceOperationAction

跟进uploadResourceOperation

跟进uploadFile

无过滤直接拼接uuid+原始后缀,回到uploadResourceOperation

上传后的文件名是resourceUuid+.jsp
尝试访问接口,发现需要认证

搜索secretKey empty,找到鉴权模块

获取token参数,如果token值与请求url+secretkey的md5值相同就可以绕过认证

Secretkey为secretKeyIbuilding

也就是token=MD5(url+ “secretKeyIbuilding”)

用友 NC  

反序列化  

和前几个反序列化一样没啥好分析的,不同的接口罢了。
相关POC已发至星球。

文章来源: http://mp.weixin.qq.com/s?__biz=Mzg3NjYwNDgzMQ==&mid=2247485815&idx=1&sn=ddc1eadd0ac927781e87d6a0241ff490&chksm=cf2ef587f8597c915ede205e591d0711e233ddd65340e6b438423d79d2816bcd05cb8f679ad8#rd
如有侵权请联系:admin#unsafe.sh