某远OA AIEdocCorrectController 任意文件读取漏洞分析

漏洞概述

某远OA系统的AIEdocCorrectController组件存在后台任意文件读取漏洞，攻击者可通过构造特定请求读取服务器上的任意文件。

漏洞环境

• 受影响版本：某远OA A8-8.2SP1
• 漏洞组件：AIEdocCorrectController
• 漏洞文件：downloadErrorReport方法

技术分析

漏洞位置

漏洞位于AIEdocCorrectController控制器的downloadErrorReport方法中，具体问题出现在对fileName参数的处理上。

漏洞成因

1. 未过滤的用户输入：downloadErrorReport方法直接使用用户传入的fileName参数
2. 不安全文件操作：将未经验证的fileName直接传递给IOUtility.copy(in, out)方法
3. 目录穿越漏洞：攻击者可通过../等路径遍历字符读取系统任意文件

代码分析

// 漏洞代码示例
public void downloadErrorReport(String fileName) {
    // 缺少对fileName的验证和过滤
    InputStream in = new FileInputStream(fileName);
    OutputStream out = response.getOutputStream();
    IOUtility.copy(in, out); // 直接文件操作，无防护
}

攻击原理

• IOUtility.copy(in, out)方法中的in参数从服务器端读取文件字节流
• out参数将字节流写入HTTP响应输出流，返回给客户端
• 通过控制fileName参数，攻击者可构造路径遍历payload读取敏感文件

路由结构

AIEdocCorrectController → Extends → AIEdocController → Extends → BaseController

漏洞验证

POC构造

由于该控制器继承自BaseController，攻击者可通过直接访问对应路由并调用相关方法进行漏洞利用。

攻击向量

攻击者需要构造特定的HTTP请求，在fileName参数中注入路径遍历payload：

fileName=../../../etc/passwd
fileName=../../WEB-INF/web.xml

官方补丁分析

修复方案

官方通过以下方式修复漏洞：

// 修复后的代码
fileName = (new File(fileName)).getName(); // 获取文件名，过滤路径遍历

修复原理

• 使用File.getName()方法提取纯文件名
• 自动去除路径信息，防止目录穿越
• 确保只能访问当前目录下的文件

影响范围

• 直接影响：服务器文件信息泄露
• 潜在风险：配置文件、密码文件、源代码等敏感信息泄露
• 攻击前提：需要具备后台访问权限

防护建议

1. 输入验证：对所有用户输入进行严格过滤
2. 路径限制：限制文件访问范围至特定目录
3. 权限控制：加强后台访问权限验证
4. 安全编码：避免直接使用用户输入进行文件操作

总结

该漏洞属于典型的路径遍历漏洞，由于缺乏对用户输入的有效验证，导致攻击者可读取服务器任意文件。开发人员应重视安全编码规范，对所有用户输入保持不信任原则。

注：本文内容仅供安全学习研究使用，禁止用于非法渗透测试活动。