官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
免责声明
本帖旨在于技术交流，请勿用于任何不当用途！由此而引起的一切不良后果均与本人无关。
项目简介
项目名：Austin
Gitee：https://gitee.com/zhongfucheng/austin.git
一个可以对消息的生命周期进行全链路追踪的开源消息分发平台，目前在Gitee上获得5.8K的star，是当前较为热门的一个开源项目。
漏洞详情
一、SSRF任意文件读取漏洞
com/java3y/austin/support/utils/AustinFileUtils.java:39
项目中的getRemoteUrl2File是根据外部传入的远程连接来进行文件读取并将文件内容返回
我们根据getRemoteUrl2File方法定位到测试消息发送的接口
com/java3y/austin/web/controller/MessageTemplateController.java:143
其中，URL是根据从消息模版中获取，而且需要邮件类型的消息才可以使URL生效
com/java3y/austin/handler/handler/impl/EmailHandler.java:61
我们来到前端新增一个邮件消息模版
