概述
此实录起因是公司的一场红蓝对抗实战演习，首先通过内部自研资产平台通过分布式扫描对目标资产进行全端口指纹识别。在目标的一个IP资产开放了一个高端口Web服务，进一步通过指纹识别的方式发现是OnlyOffice服务。第一次遇到OnlyOffice服务（Express框架)，后续整个渗透流程就是通过老洞到分析代码找到新利用方式，最终通过任意文件写新利用方式实现了RCE，突破进入内网。
老洞新用
资产收集找到了如图所示的资产，即使从来没碰到过，根据页面也能发现使用的是OnlyOffice。
扫描发现存在/index.html路由，直接拿到了目标的版本号，在dockerhub上找到了一样的版本onlyoffice/documentserver:5.4.2.46，5.4.2已经是3年前的版本了，很可能会存在一些老洞。
搜索发现了存在多个老洞，