某个OA系统的代码审计
2023年HVV中爆出来的洞了，但是有一些漏洞点修复了，刚好地市级的攻防演练中遇到了一个，想着把可能出现问题的点全部审计一下，顺便熟悉一下.net代码审计。ps:感兴趣的师傅们可以自行根据poc搜刮源码。0x1 反编译
好吧，当我没说，下载dnspy反编译即可，但是起首要找到web逻辑代码才能开始审计，由于这套oa是使用了mvc开辟模式，简单介绍一下mvc，其实就是model，controller，view，其中的view是视图也就是html等展示给用户看的东西，model是模型也就是控制数据库的代码。controller是控制器负责实行代码的逻辑，也就是我们必要审计的地方了。
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554123.png
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554126.png
然后找到controller就是web的主要逻辑了。
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554127.png
0x2 身份校验绕过
起首可以随便点入一个controller，发现filesController继承自TopVisionApi。
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554128.png
然后我们发现IsAuthorityCheck()这个函数用于判断权限。
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554129.png
起首看到第一行代码getByValue这个函数,其实Request.Properties["MS_HttpContext"]).Request就是获取http请求中的某个参数，而value就是调用传过来的参数，在这里是token，那么这段代码就是获取http中的token参数。
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554130.png
然后if判断了token是不是空值然后再判断token参数的值是不是等于"zxh"，如果登录则直接返回一个UserInfo对象。
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554131.png
然后回到filesController的身份判断，发现只判断了IsAuthorityCheck返回是否为null，以是只必要让token参数是zxh的时候，那么就可以绕过身份校验了。
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554132.png
0x3 恣意文件下载
照旧 filesController 这个控制器 DownloadRptFile方法。这时我们已经绕过了身份认证，以是只必要看之后代码即可。requestFileName就是我们通报的http参数，
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554133.png
然后跟进代码。并未发现任何过滤../的行为，直接通报给getBinaryFile函数
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554135.png
getBinaryFile函数如下。
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554136.png
结果证明: （读取文件内容会以base64返回）
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554137.png
0x4 信息泄露
发现GetCurrentUserList方法查询了所有用户信息。并且返回给前台。
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554138.png
是c#中的泛型，这里是用来查询数据库的。可以看到遍历了dicUserList这个数组。这个数组就是初始化的用户信息数组了。
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554139.png
直接访问：
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554140.png
0x5 恣意文件删除
发现DeleteFile2方法是一个删除文件方法。这里也没有发现过滤../以及过滤删除文件的后缀名。
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554141.png
虽然是有限制了文件路径，但是全然没有过滤../，而且filename参数也是完全可控的。以是这里其实是存在恣意文件删除漏洞的。
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554142.png
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554143.png
ps: 这里就不放验证截图了，感兴趣的师傅们可以自行本地验证。
【----资助网安学习，以下所有学习资料免费领！加vx：dctintin，备注 “博客园” 获取！】
① 网安学习成长路径思维导图
② 60+网安经典常用工具包
③ 100+SRC漏洞分析陈诉
④ 150+网安攻防实战技术电子书
⑤ 最权威CISSP 认证考试指南+题库
⑥ 超1800页CTF实战本领手册
⑦ 最新网安大厂口试题合集（含答案）
⑧ APP客户端安全检测指南（安卓+IOS）
0x6 恣意文件上传
UploadFile2方法中获取了各种参数，然后传入UploadFile2
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554144.png
跟进该方法。pathType就是限制文件上传到哪个文件夹的。
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554145.png
pathType详解：
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554146.png
fs参数是我们通报的byte数组也就是文件的内容。
startPoint等于0就好如许才能创建一个新的文件，datasize则是数组的长度。
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554147.png
漏洞验证：
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554148.png
0x7 SQL注入
InventoryController的GetProductInv方法，直接从参数获取boxNoName未经过过滤直接通过string.Format拼接至sql语句中，导致了sql注入。
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554149.png
验证：直接sqlmap即可
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554150.png
https://m-1254331109.cos.ap-guangzhou.myqcloud.com/202407231554151.png
更多网安技能的在线实操训练，请点击这里>>
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
页:
[1]