阅读须知
亲爱的读者，我们诚挚地提醒您，WebSec实验室的技术文章仅供个人研究学习参考。任何因传播或利用本实验室提供的信息而造成的直接或间接后果及损失，均由使用者自行承担责任。WebSec实验室及作者对此概不负责。如有侵权，请立即告知，我们将立即删除并致歉。感谢您的理解与支持！
01
漏洞描述
某友移动管理系统支持多个模块，包括销售管理、采购管理、费用报销、审批流程等，覆盖了企业日常运营的各个环节。用户可以通过移动设备随时随地进行业务操作和查询，实现移动办公的便利性和高效性。此系统某个接口存在任意文件上传漏洞。
02
资产测绘
Fofa语法：app="用友-移动系统管理"
03
漏洞复现
04
修复建议
-
输入验证：对于文件上传功能的输入进行严格的验证，包括文件类型、文件大小等。只允许特定的合法文件类型上传，并限制文件大小，以防止恶意文件的上传。
-
文件扩展名过滤：过滤掉一些常见的危险文件扩展名，如.php、.exe等，避免恶意文件被上传到服务器。
-
文件内容检查：对于上传的文件进行内容检查，确保文件内容符合预期，避免恶意代码的执行。
升级修复方案：
官方已发布安全更新，建议访问官网联系售后升级补丁
05
原文始发于微信公众号（WebSec）：【漏洞复现】*友移动管理系统某接口存在任意文件上传
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论