金和 OA ntkoupload 任意文件上传漏洞

## 漏洞概述 金和 OA 系统 ntkoupload 接口存在任意文件上传漏洞，攻击者可利用该接口上传恶意文件至服务器。 ## 影响范围 主要影响金和 OA 系列软件，具体版本未明确。 ## 利用条件 1. 攻击者需能访问目标系统的 ntkoupload 接口。 2. 通常需要一定的权限（如登录用户），部分配置下可能允许匿名上传。 3. 服务端对文件后缀名或类型验证不足。 ## 修复建议 1. 升级金和 OA 至最新官方版本。 2. 在 ntkoupload 接口增加严格的文件后缀白名单校验。 3. 限制上传目录的执行权限，避免脚本直接执行。 4. 对上传文件名进行随机化处理。 ## 参考链接 详见来源链接。