浅析Smartbi逻辑漏洞

写在前面

仅分享逻辑漏洞部分思路，全文以无害路由做演示，后续利用部分打码处理

厂商已发布补丁：https://www.smartbi.com.cn/patchinfo

分析

最近可以看到smartbi官网突然发布了新的补丁，对比学习了下

利用也仍然和RMIServlet相关，在这个Servlet上还有个Filter(smartbi.freequery.filter.CheckIsLoggedFilter)

如果我们访问调用一些未授权的类方法，就会返回如下字段

我们先来看看如果正常情况程序该怎么走，首先如果调用RMIServlet，则会尝试获取到className与methodName，获取的方式也多种多样

有通过解码windowUnloading参数获取

有通过GET/POST获取

甚至支持从请求体流中解析

后面通过下面这两个判断对类与方法做鉴权，如果为true则会继续判断是否登录，未登录则抛出CLIENT_USER_NOT_LOGIN

这里对于未授权右边部分我们可以不必关心，按照运算符优先级只要FilterUtil.needToCheck返回false那么整个结果一定为false，而FilterUtil.needToCheck中返回false的都是白名单，代表我们不需要登录都能访问，这也就是为什么上个版本通过利用loginFromDB登录默认内置用户

接下来过了过滤器部分，我们在看RMIServlet如何取值，通过parseRMIInfo从request当中取得

在这个方法中首先通过request.getParameter取值，若为空则通过multipart获取参数，如果都不行则通过request.getAttribute从之前保存的属性当中获取

public static RMIInfo parseRMIInfo(HttpServletRequest request, boolean forceParse) {
        if (!"/vision/RMIServlet".equals(request.getServletPath()) && !forceParse) {
            return null;
        } else {
            RMIInfo info = getRMIInfoFromRequest(request);
            if (info != null) {
                return info;
            } else {
                String className = request.getParameter("className");
                String methodName = request.getParameter("methodName");
                String params = request.getParameter("params");
                if (StringUtil.isNullOrEmpty(className) && StringUtil.isNullOrEmpty(methodName) && StringUtil.isNullOrEmpty(params) && request.getContentType() != null && request.getContentType().startsWith("multipart/form-data;")) {
                    DiskFileItemFactory dfif = new DiskFileItemFactory();
                    ServletFileUpload upload = new ServletFileUpload(dfif);
                    String encodeString = null;

                    try {
                        List<FileItem> fileItems = upload.parseRequest(request);
                        request.setAttribute("UPLOAD_FILE_ITEMS", fileItems);
                        Iterator var10 = fileItems.iterator();

                        while(var10.hasNext()) {
                            FileItem fileItem = (FileItem)var10.next();
                            if (fileItem.isFormField()) {
                                String itemName = fileItem.getFieldName();
                                String itemValue = fileItem.getString("UTF-8");
                                if ("className".equals(itemName)) {
                                    className = itemValue;
                                } else if ("methodName".equals(itemName)) {
                                    methodName = itemValue;
                                } else if ("params".equals(itemName)) {
                                    params = itemValue;
                                } else if ("encode".equals(itemName)) {
                                    encodeString = itemValue;
                                }
                            }
                        }
                    } catch (UnsupportedEncodingException | FileUploadException var14) {
                        LOG.error(var14.getMessage(), var14);
                    }

                    if (!StringUtil.isNullOrEmpty(encodeString)) {
                        String[] decode = (String[])((String[])CodeEntry.decode(encodeString, true));
                        className = decode[0];
                        methodName = decode[1];
                        params = decode[2];
                    }
                }

                if (className == null && methodName == null) {
                    className = (String)request.getAttribute("className");
                    methodName = (String)request.getAttribute("methodName");
                    params = (String)request.getAttribute("params");
                }

                info = new RMIInfo();
                info.setClassName(className);
                info.setMethodName(methodName);
                info.setParams(params);
                request.setAttribute("ATTR_KEY_RMIINFO", info);
                return info;
            }
        }
    }