免责声明
本文所涉及的任何技术、信息或工具，仅供学习和参考之用。请勿利用本文提供的信息从事任何违法活动或不当行为。任何因使用本文所提供的信息或工具而导致的损失、后果或不良影响，均由使用者个人承担责任，与本文作者无关。作者不对任何因使用本文信息或工具而产生的损失或后果承担任何责任。使用本文所提供的信息或工具即视为同意本免责声明，并承诺遵守相关法律法规和道德规范。
产品描述
可视化融合指挥调度平台以标准SIP协议为核心，提供强大的调度、广播、视频、报警、预案、电子地图等功能模块，可实现多级架构管理，满足不同行业调度需求。
漏洞描述
可视化融合指挥调度平台 uploadImg 接口、/alarm/alarmConfig接口、UploadFile接口处存在任意文件上传漏洞，未经身份验证的攻击者可利用此漏洞上传恶意后门文件，导致服务器权限被控。
资产测绘
FOFA：body="base/searchInfoWindow_min.css"
复现过程
源码全局搜索upload字段，成功找到了upload方法
执行文件上传操作的方法没对文件后缀名进行校验，直接拼接上传，造成任意文件上传
复现案例一：UploadImg接口
POC：公众号后台回复“可视化”
复现案例二：UploadFile接口
POC：公众号后台回复“可视化”
复现案例三：/alarm/alarmConfig接口
POC：公众号后台回复“可视化”
