关键漏洞信息 产品: Sangfor (深信服) 产品名称: Operation and Maintenance Management System (OSM / 运维安全管理系统) 受影响版本: 3.0.8 (及潜在更早版本) 漏洞类型: OS Command Injection 描述 一种危急的远程命令执行 (RCE) 漏洞存在于 Sangfor OSM 3.0.8 版本中。该漏洞位于 端点。应用程序未能正确地对 HTTP POST 请求中的 参数进行清理。 资产映射 fofa: 漏洞细节与根本原因 不安全的输入处理: 端点接收 参数。 不充分的清理: 尽管似乎存在正则表达式检查，但它被绕过或不足以阻止命令分隔符。 命令注入: 应用程序通过字符串拼接构建命令: 。 执行: 类通过系统 shell 直接执行污染串。 证明概念 (PoC) 步骤 1: 发送恶意请求。载荷注入执行 的命令并将输出写入一个公开访问静态目录 ( )。 步骤 2: 验证执行。通过浏览器访问输出文件。 修复措施 1. 输入验证: 严格白名单 参数仅允许有效文件路径字符 (字母数字、 , , ) 并拒绝任何 Shell 元字符。 2. 安全编码: 替换 或 shell 拼接 Java ，通过参数列表传递参数，防止 shell 将它们解释为命令。