引言
本文记录了一次对某通用供应链管理系统文件上传漏洞的挖掘，该通用产品使用了tomcat，但没有配置好tomcat管理后台的认证信息，导致了tomcat后台文件上传漏洞的发生。经测试，大部分使用该产品的资产均存在tomcat后台文件上传Nday的影响。
漏洞挖掘
路径FUZZ发现tomcat后台接口 manager/html ，需要认证。
尝试tomcat几种默认账户密码组合，成功进入后台。
上传war包，war包中的jsp木马只会执行 whoami 命令，以模拟上传webshell。
访问部署的服务，成功返回执行结果。
总结
相关漏洞信息已提交给对应人员或平台，此漏洞已提交给CNVD平台，测试上传的文件已删除（已卸载部署的服务）。