某运营管理平台登录绕过及文件上传漏洞分析

yecp·2024-01-17 17:10·4 分钟·5.6K·北京·历史精选

某运营管理平台漏洞分析 Filter分析查看web.xml文件，可以发现多个路由都由controllerFilter来处理看看这个filter的实现逻辑，doFilter方法中首先检测访问的url中是否包含/dwr/，或以.js结尾，只要不包含/dwr/或者不以.js结尾就为true verificationURL方法验证用户是否登录，未登录直接重定向到/login/abnormal_ex

某运营管理平台漏洞分析

Filter分析

查看web.xml文件，可以发现多个路由都由controllerFilter来处理

看看这个filter的实现逻辑，doFilter方法中首先检测访问的url中是否包含/dwr/，或以.js结尾，只要不包含/dwr/或者不以.js结尾就为true

verificationURL方法验证用户是否登录，未登录直接重定向到/login/abnormal_exit.jsp，返回false，所以在未登录状态下，在前面条件未满足情况下，就会重定向到/login/abnormal_exit.jsp，不会进入if语句逻辑

看第二个if判断，判断访问的url中是否包含/ProxyServletUtil和/servlet/pageProcessServlet，只要不包含/ProxyServletUtil和/servlet/pageProcessServlet就为true

看第三个if判断，访问的url不以.xf和.xml结尾，并且满足(!uri.endsWith(".jsp") || !this.isNotValidatePage(uri))就为true

isNotValidatePage方法相当于是定义了能够访问的jsp文件的白名单

当url不以.xf和.xm和.jsp结尾时，为true，如果访问的url以jsp结尾，jsp文件的名称需要在白名单中，才为true，否则为false
当这三个if判断都满足了后，如果访问的url是白名单中的jsp文件，则判断传入的参数是否存在违规字符

validate方法用来检测传入的参数是否存在违规字符

如果访问的url以.do结尾，先检测是否包含违规字符，在检测是否登录

如果访问的url是图片文件

未做什么判断

如果访问的url以.ln结尾，获取传入的SYS_LINK参数，调用LinkUtil.getLinkMeta方法获取LinkMeta对象，然后判断LinkMeta对象中获取到的时间是否在当前时间之前，根据LinkMeta对象中获取到的用户名进行登录操作，然后重定向到LinkMeta对象中获取到的url

loginByCas方法中调用loginByUserName方法

loginByUserName方法

很明显，这里存在一个登录绕过漏洞

登录绕过

看下LinkUtil.getLinkMeta方法是怎么获取到LinkMeta对象的

调用BaseFunc.hexStringToBytes对传入的SYS_LINK进行hex解码，然后调用EncrypUtil.decrypt对其进行解密，将解密后的内容按||进行分割，第一块为url、第二块为时间，第三块为用户，所以解密后的内容应该就是这种形式：
url||时间||用户
时间转换的格式：