CVE-2021-26828：ScadaBR任意文件上传漏洞

1. 复现环境

靶机：Win10（192.168.15.130）

软件：ScadaBR Windows 1.0

2. 复现步骤

登陆ScadaBR,，并访问http://192.168.15.130:8080/ScadaBR/view_edit.shtm页面。

创建cmd.jsp文件。

选择cmd.jsp文件。

上传cmd.jsp文件后界面发生改变。

在页面代码中定位到jsp文件路径，此时jsp文件已被重命名。

访问http://192.168.15.130:8080/ScadaBR/uploads/6.jsp页面，此时页面没有报错。

访问http://192.168.15.130:8080/ScadaBR/uploads/6.jsp?cmd=whoami，尝试添加请求参数执行命令。通过执行”whoami”命令，可以得知当前用户为system，漏洞复现成功。

随后在ScadaBRwebappsScadaBRWEB-INFclassescomserotoninmangowebmvccontroller文件夹中查询到ViewsController.class。

使用luyten反编译ViewsController.class，并查询到处理文件上传的函数。

对onBindAndValidate函数进行分析，发现该函数没有对上传文件的扩展名以及文件类型进行检测，从而导致攻击者可以上传任意类型文件。

1. 软件升级至最新版本。

2. 监控网络流量，查看是否有恶意代码的流量特征。

3. 安装主机卫士，设置IP白名单。