【未公开】湖南建研工程质量检测系统-任意文件读取-Download

免责声明

此内容仅供技术交流与学习，请勿用于未经授权的场景。请遵循相关法律与道德规范。任何因使用本文所述技术而引发的法律责任，与本文作者及发布平台无关。如有内容争议或侵权，请及时私信我们！

0x01 产品简介

湖南建研信息技术股份有限公司成立于2007年，是一家专业的建设行业信息化软硬件开发服务商，属于高新技术企业、双软认证企业，主要为房建、市政、交通和水利等多个建设工程领域的质量与安全提供全面的软件研发与销售、技术解决方案及服务。公司始终坚持“专注、创新 、精良、服务”的经营理念，经过十余载的行业深耕发展，始终坚持将技术创新放在首位拥有覆盖建设工程领域建设全过程的软硬件产品。近年来连续获得湖南省“软件企业50强”、专精特新“小巨人”企业等多项荣誉、通过了国际软件领域最高CMMI5体系、ISO9001质量体系、ISO27001信息安全体系和5星售后服务等多项资质认证。

0x02 漏洞概述

湖南建研工程质量检测系统 Download 接口处存在任意文件读取漏洞,恶意攻击者可能会利用此漏洞读取敏感文件，对系统造成危害      

0x03 网络测绘

body="/Content/Theme/Standard/"

0x04 漏洞复现

1、构建数据包

0x05 Nuclei

交流群人满，如需加群，请加微信，备注来意

2、仔细验证用户请求的文件路径，确保它指向允许访问的文件；

3、及时应用安全更新和补丁，以修复任何已发现的漏洞。

原文始发于微信公众号（知黑守白）：【未公开】湖南建研工程质量检测系统-任意文件读取-Download