问
是否存在该漏洞
8小时前提问
- 0关注
- 0收藏，43浏览
zhiliao_Gixe
六段
针对该漏洞描述，H3C官方暂未公开确认此0day漏洞的存在及受影响范围。若需验证设备是否存在风险，可按以下步骤排查：
1. 检查设备是否启用Web网管：
display web interface
若未启用，风险较低；若启用，继续排查。
2. 验证接口访问情况：
使用curl或浏览器访问http://[设备IP]/webui/?g=net_dynamic_pop_adv_submit，观察是否返回异常响应（如200 OK且包含上传表单）。
3. 临时缓解措施（若存在风险）：
若设备支持Web应用防火墙（WAF）功能，添加URL拦截规则：
acl number 3000
rule deny tcp destination-port eq 8080 destination-url /webui/?g=net_dynamic_pop_adv_submit
interface Vlan-interface1 // 替换为Web网管所在接口
firewall packet-filter 3000 inbound
或直接关闭Web网管：
undo web interface enable
建议及时关注H3C官方安全公告（https://www.h3c.com/cn/Security/Announcement/），获取最新补丁或解决方案。若需进一步确认，可联系H3C技术支持提供设备型号、软件版本等信息。
1. 检查设备是否启用Web网管：
display web interface
若未启用，风险较低；若启用，继续排查。
2. 验证接口访问情况：
使用curl或浏览器访问http://[设备IP]/webui/?g=net_dynamic_pop_adv_submit，观察是否返回异常响应（如200 OK且包含上传表单）。
3. 临时缓解措施（若存在风险）：
若设备支持Web应用防火墙（WAF）功能，添加URL拦截规则：
acl number 3000
rule deny tcp destination-port eq 8080 destination-url /webui/?g=net_dynamic_pop_adv_submit
interface Vlan-interface1 // 替换为Web网管所在接口
firewall packet-filter 3000 inbound
或直接关闭Web网管：
undo web interface enable
建议及时关注H3C官方安全公告（https://www.h3c.com/cn/Security/Announcement/），获取最新补丁或解决方案。若需进一步确认，可联系H3C技术支持提供设备型号、软件版本等信息。
关于 /webui/?g=net_dynamic_pop_adv_submit 任意文件上传漏洞官方核实结论
一、核心结论
- 新华三官方暂未发布正式安全公告、无对应 CVE/CNVD 编号确认该漏洞存在 全网公开渠道（H3C 安全通告、CNVD、NVD、知了官方知识库）没有厂商盖章确认该接口存在可上传 PHP 脚本的 0day 漏洞，该漏洞描述仅为社区用户单方面发布的风险预警，不属于官方已收录漏洞。
- 漏洞描述存在两处明显疑点
- 疑点 1：H3C Comware V7/V5 设备 Web 网管底层为嵌入式系统，无 PHP 运行环境，即便上传后缀 php 文件也无法解析执行，描述中 “上传 php 可执行脚本” 不符合设备底层架构；
- 疑点 2：笼统标注 “全版本受影响”，无区分产品（防火墙 / 交换机 / ACG / 无线控制器均带 /webui 路径，不同设备该接口实现逻辑完全不同），描述不严谨。
- 接口归属
net_dynamic_pop_adv_submit是动态地址池高级配置提交接口，仅在 SecPath 防火墙、ACG、AD 等安全产品 Web 页面存在，交换机、无线控制器无此接口。
二、分步骤现场自查方案（判断自身设备是否存在风险）
1. 确认设备型号与 Web 服务状态
登录设备 CLI 执行：
plaintext
# 查看Web管理是否开启
display web interface
# 查看设备平台版本
display version
# 测试接口是否可访问（替换为设备管理IP）
curl -I http://设备IP/webui/?g=net_dynamic_pop_adv_submit
- 若返回 404 Not Found：设备无此接口，无风险；
- 若返回 200/302 跳转登录页：接口存在，但必须登录认证后才能调用上传逻辑，不存在未授权上传；
- 若未开启 web 服务：直接无暴露风险。
2. 验证接口权限逻辑
该接口属于登录后鉴权接口，所有请求必须携带合法 Session COOKIE，未登录状态下所有提交操作会强制跳转登录页面，不存在无授权直接上传的攻击路径。
三、分级防护处置措施（按风险从高到低）
方案 1：彻底根除（推荐生产环境）
直接关闭 Web 网管，仅使用 SSH/Console 运维，从根源消除接口暴露：
plaintext
undo web interface enable
save
方案 2：防火墙本地 URL 拦截（设备自带防护）
在设备域间策略 / ACL 拦截该 URL，阻断所有访问请求：
plaintext
acl number 3000
rule deny tcp destination-url /webui/?g=net_dynamic_pop_adv_submit
# 应用到Web管理入接口（外网/管理VLAN接口）
interface Vlan-interface X
firewall packet-filter 3000 inbound
方案 3：边界 WAF 拦截（多设备统一防护）
边界防火墙、独立 WAF 添加 URL 黑名单规则，匹配路径
/webui/?g=net_dynamic_pop_adv_submit 直接丢弃数据包。方案 4：最小权限加固（保留 Web 管理场景）
- 仅限定内网管理 IP 访问 Web：
plaintext
ip http acl 2000
acl number 2000
rule permit source 192.168.1.0 0.0.0.255 # 仅管理网段
rule deny
- 修改 Web 服务端口，不使用 80/8080 默认端口；
- 配置高强度 Web 管理员密码，开启登录失败锁定。
四、官方正规确认渠道（如需 100% 核实漏洞真实性）
- 知了社区工单：发帖提供设备型号、版本、接口抓包，等待原厂工程师后台复现验证；
- 400 技术热线：拨打 400-810-0504，提供设备 SN、固件版本，申请安全团队复测该接口；
- 官方安全公告页：定期刷新 https://www.h3c.com/cn/Security/Announcement/ ，厂商确认漏洞后会发布带 CNVD 编号的正式通告。
五、补充风险提示
- 网络流传无官方佐证的 “0day 预警” 需谨慎甄别，优先以厂商正式公告为准；
- H3C 安全设备 Web 上传类漏洞几乎全部需要合法登录权限，极少存在未授权上传；
- 嵌入式设备不存在 PHP 运行环境，恶意脚本无法执行，该漏洞描述中 “上传 php 拿权限” 的攻击链路不成立。
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论