0x01 产品简介
广联达科技股份有限公司作为数字建筑平台服务商,围绕工程项目的全生命周期,为客户提供数字化软硬件产品、解决方案及相关服务。公司业务面向建设方、设计方、制造厂商、供应商、施工方、运营方等。这里我推荐利用 ZoomEye搜索引擎发现影响资产6000+。
声明
请自行搭建环境进行漏洞测试，该公众号或作者星球分享的工具、项目、漏洞仅供安全研究与学习之用请勿用于非法行为，如用于其他用途，由使用者承担全部法律及连带责任，与作者和本公众号无关。
TIPS: 末尾领取资料及福利
0x02 漏洞描述
外部实体注入漏洞全称XML External Entity Injection即xml外部实体注入漏洞，外部实体注入漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站、发起dos攻击等危害。外部实体注入漏洞触发的点往往是可以上传xml文件的位置，没有对上传的xml文件进行过滤，导致可上传恶意xml文件。
0x03 ZoomEye语法
app:"广联达 Linkworks"
0x04 漏洞复现
POC（今日漏洞POC大量资产存在暂不公开，需要的加入星球获取，自行搭建环境测试）
POST /8t17l16mll/axxqnkrz5d/7l16mqb/dlqllf2.aspx HTTP/1.1Host: {}accept: */*User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36Accept-Encoding: gzip, deflate, brAccept-Language: zh-CN,zh;q=0.9Cookie: GTP_IdServer_LangID=2052Connection: closeContent-Length: 387<xmlx>&t;</xmlx>
0x05 修复建议
升级至最新版本，官方已经推出新的版本补丁包。
0x06
原文始发于微信公众号（渗透安全HackTwo）：广联达企业管理系统DataFile.aspx存在外部实体注入漏洞(新day)-漏洞挖掘
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论