(在野0day)某赛通某接口存在文件上传漏洞
2023-12-20 20:33:32 Author: 猪猪谈安全(查看原文) 阅读量:21 收藏

阅读须知

亲爱的读者，我们诚挚地提醒您，WebSec实验室的技术文章仅供个人研究学习参考。任何因传播或利用本实验室提供的信息而造成的直接或间接后果及损失，均由使用者自行承担责任。WebSec实验室及作者对此概不负责。如有侵权，请立即告知，我们将立即删除并致歉。感谢您的理解与支持！

01

漏洞描述

   此电子文档安全管理系统提供了一系列的功能和措施，旨在确保电子文档的机密性、完整性和可用性，以防止未经授权的访问、篡改或丢失。其中uploadFile接口存在任意文件上传漏洞，攻击者通过上传恶意文件，从而在Web服务器上执行未经授权的操作。

02

资产测绘

Hunter语法：web.icon=="9fd216c3e694850445607451fe3b3568"

03

漏洞复现

04

修复建议

临时缓解方案：
1、加强服务器和应用程序的访问控制，仅允许可信IP进行访问
2、加强对Web应用的监控和日志记录，特别是关注异常上传行为和路径遍历尝试
3、没有固定需要，禁止8021端口在互联网中开放升级修复方案：
官方已发布安全更新，建议访问官网联系售后升级补丁

05

星球介绍

  1. 我们郑重承诺，每个工作日都会定时推送高质量的1day，有时也会分享未公开的0day。

  2. 目前星球价格为￥99。报名人数达到120人后，费用将上涨至￥199元，达到200人后，费用将上涨至￥299元。

  3. 转发至其他公众号或5个拥有100人以上的安全群，加微信后提供截图，私聊球主价格可低至￥66元，但不支持退款

  4. 欢迎投稿最新漏洞poc或复现分析文章，符合条件的投稿者将获得一年免费会员资格。

  5. 节假日期间，我们会发放一定数量的优惠券，数量有限，先到先得。

更多漏洞poc发布在知识星球

星球专栏和最近部分主题的预览:

- END -


文章来源: http://mp.weixin.qq.com/s?__biz=MzIyMDAwMjkzNg==&mid=2247512654&idx=2&sn=7f02de7b67999638f2c414f66c85fb4e&chksm=9638012fd0018ce4a846919c9582e7d50cab7909ef41440214bff6c78cdefcd3e1d34dc9140a&scene=0&xtrack=1#rd
如有侵权请联系:admin#unsafe.sh