Trendnet TEW-713RE setSysAdm 漏洞总结 漏洞概述 漏洞详情 函数从用户请求中获取 参数，该参数未经任何检查直接传递给 函数，导致命令注入漏洞。 存在问题的代码片段： 影响范围 攻击向量：远程攻击 攻击方式：通过操纵 参数注入任意系统命令 危害：攻击者可执行任意系统命令，完全控制设备 POC代码 POC说明：通过 参数注入 命令，在设备根目录创建文件验证命令执行。 修复方案 1. 输入验证：对 参数进行严格的白名单过滤，仅允许合法字符（如字母、数字） 2. 参数化调用：避免使用字符串拼接方式执行系统命令，改用安全的API或参数化调用 3. 转义处理：对特殊字符（ , , , ` ` $`, 等）进行转义或拒绝