漏洞关键信息 漏洞描述 漏洞类型: 任意文件上传 受影响系统: Merchant Mall - TMS系统 原因: 网络应用程序未能严格验证或过滤用户上传的文件 漏洞复现 文件位置: 漏洞参数: 关键代码分析 第133行: : - 由 方法获取，不可控。 - 由环境配置决定，不可控。 - 由 和 组成，需要确定 和 是否可控。 控制参数分析 （第170行）由 获取，不可控。 （第185行）由环境配置决定，不可控。 （第182行）由 和 组成，需要确定是否可控。 - : 随机生成（第204行），不可控。 - : 从文件名后缀直接获取，未做任何验证（第211行），可控。 恶意请求构造示例 请求路径: 请求体示例: 上传结果: 成功上传了 类型的文件，表明可以上传任意文件类型，存在严重的安全风险。 `` .jsp`文件，从而导致服务器被攻击或控制。解决此漏洞的关键在于对上传文件的类型和内容进行严格校验和过滤。