记一次某通用供应链管理系统文件上传漏洞挖掘

引言

本文记录了一次对某通用供应链管理系统文件上传漏洞的挖掘，该通用产品使用了tomcat，但没有配置好tomcat管理后台的认证信息，导致了tomcat后台文件上传漏洞的发生。经测试，大部分使用该产品的资产均存在tomcat后台文件上传Nday的影响。

漏洞挖掘

路径FUZZ发现tomcat后台接口 manager/html ，需要认证。

尝试tomcat几种默认账户密码组合，成功进入后台。

上传war包，war包中的jsp木马只会执行 whoami 命令，以模拟上传webshell。

访问部署的服务，成功返回执行结果。

总结

相关漏洞信息已提交给对应人员或平台，此漏洞已提交给CNVD平台，测试上传的文件已删除（已卸载部署的服务）。