weixin_45959257的博客

原创 2021-01-18

致远OA任意文件上传漏洞漏洞原理致远OA是一套办公协同管理软件。近日，奇安信CERT监测到致远OA的相关漏洞信息。由于致远OA旧版本某些接口存在未授权访问，攻击者通过构造恶意请求，可在无需登录的情况下上传恶意脚本文件，从而控制服务器。修复方法下载致远OA的最新补丁漏洞复现1、构建判断漏洞是否存在http://xxx.xxx.xxx.xxx/seeyon/thirdpartyController.do.css/..;/ajax.do如下图的结果则说明可能存在，但只是可能，要进一步操作才能确定