泛微云桥e-Bridge任意文件上传漏洞分析

作者:Harder@微步漏洞团队

漏洞详情：

关于最近爆的泛微云桥e-Bridge文件上传感觉很有意思，这个文件上传是绕过了安全函数对.jsp后缀检测，一个多请求文件上传，通过后一个正常图片的请求覆盖Hash表，回传uploadFile对象实现回传而绕过isSafeFile方法对后缀的检测

入口点在weaver.weixin.app.recruit.controller.ResumeController

@ActionKey("/wxclient/app/recruit/resume/addResume")
@Before({Tx.class})
public void addResume() throws Exception {
    try {
        WxBaseFile wbFile = null;
        if (this.getContentType().toLowerCase().startsWith("multipart/form-data")) {
            wbFile = this.getWxBaseFile(this.wxBaseFileService, this.getPara("fileElementId"), (String)null, 2097152, (String)null);
        }

        ResumeModel model = (ResumeModel)this.getModel(ResumeModel.class, "resume");
        if (wbFile != null) {
            model.set("accessory", wbFile.getId());
        }

        if (this.resumeService.addResume(model, this.getPara("sysagentid"))) {
            this.renderJsonMsgForIE("提交成功", true);
        } else {
            this.renderJsonMsgForIE("提交失败", false);
        }

    } catch (Exception var3) {
        Exception e = var3;
        if (e.getMessage().indexOf("2097152") != -1) {
            this.renderJsonMsgForIE("上传文件大小不能超过2M", false);
        } else {
            this.log.error(e.getMessage(), e);
            this.renderJsonMsgForIE("程序异常，请联系管理员！", false);
        }

        throw e;
    }
}

跟着调用看看

public UploadFile getFile(String parameterName, String saveDirectory, Integer maxPostSize, String encoding) {  
    getFiles(saveDirectory, maxPostSize, encoding);  
    return getFile(parameterName);  
}

大概调用栈就是这样，跟着下面关键代码走就行

weaver.weixin.app.recruit.controller.ResumeController#addResume=>weaver.weixin.core.controller.BaseController#getWxBaseFile=>com.jfinal.core.Controller#getFile=>com.jfinal.core.Controller#getFiles=>com.jfinal.upload.MultipartRequest#MultipartRequest=>com.jfinal.upload.MultipartRequest#wrapMultipartRequest=>javax.servlet.http.HttpServletRequest#MultipartRequest

在这其实已经完成了第一个uploadFile对象的请求上传。然后进行了第二次请求,把第二个uploadFile对象也上传了。然后我们继续往下走

这里的函数multipartRequest.getFilesystemName跟踪进去可以看到，是非常有说法的，它返回的是files的name值的然后转换的UploadedFile对象，然后在根据这个UploadedFile对象的getFilesystemName()的方法获取filesystemName的名字。然后我们可以看看这个files是什么东西

files是类com.oreilly.servlet.MultipartRequest类中的Hash表，是用来存储文件上传的键值对的