然之OA协同系统Getshell漏洞

然之OA系统简介

然之是一款面向中小企业的协同办公系统,它包括了客户管理系统crm系统、OA系统、企业记账软件、文档管理系统、工作流系统、免费考勤系统、免费审批系统、免费报销系统。

漏洞解析

当进入了安装环节，安装时并未进行过滤输入字符，所有的配置信息都会直接写入my.php文件中，利用该点可以直接向配置文件中写入一句话getshell。

漏洞利用

进入安装配置界面：