A7100RU 漏洞总结 漏洞概述 在 TOTOLINK A7100RU 路由器的 文件中发现了一个命令注入 (Command Injection) 漏洞。攻击者可以通过构造包含恶意 参数的请求，导致服务器执行任意操作系统命令。该漏洞允许远程攻击者执行如 等命令，进而可能实现远程代码执行。 影响范围 厂商 (Vendor): TOTOLINK 产品 (Product): A7100RU 版本 (Version): 7.4cu.2313_b20191024 漏洞代码分析 (关键逻辑) 页面展示了存在漏洞的C代码片段（ 相关逻辑），其中 参数被直接拼接到命令字符串中： 以及 函数（执行命令的核心）： 概念验证 (PoC) 攻击者可以通过发送如下 HTTP POST 请求来利用该漏洞： 修复方案 页面未直接提供修复代码，但指出漏洞源于 中未对用户输入（ ）进行过滤直接拼接到 命令中。建议厂商更新固件，对用户输入参数进行严格的过滤或转义，避免命令注入。