GeoServer SQL 注入漏洞复现（CVE-2024-25157）附poc_geoserverl漏洞

最新推荐文章于 2024-05-11 17:26:00 发布
最新推荐文章于 2024-05-11 17:26:00 发布
阅读量759 收藏 6
点赞数 6
分类专栏： 2024年程序员学习 文章标签： sql 网络 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2401_83974607/article/details/137866917
版权
GeoServer是OpenGIS Web 服务器规范的 J2EE 实现，利用 GeoServer 可以方便的发布地图数据，允许用户对特征数据进行更新、删除、插入操作，通过 GeoServer 可以比较容易的在用户之间迅速共享空间地理信息。在2.22.1和2.21.4之前版本中，在开放地理空间联盟（OGC）标准定义的过滤器和函数表达式中发现了一个SQL注入问题，未经身份验证的攻击者可以利用该漏洞进行SQL注入，执行恶意代码。
摘要由CSDN通过智能技术生成

先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7

深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年最新网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。
img
img
img
img
img
img

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习

最低0.47元/天 解锁文章
2401_83974607
关注
  • 6
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
GeoServer /geoserver/wms接口存在远程命令执行漏洞
nnn2188185的博客
05-22 399
GeoServer /geoserver/wms接口存在远程命令执行漏洞
GeoServer SQL注入漏洞复现（CVE-2023-25157）
0xSec
06-09 7339
GeoServer在预览图层的时候，可以对图层进行数据过滤从而渲染出指定位置的图层。由于未对用户输入进行过滤，在使用需要以数据库作为数据存储的功能时，攻击者可以构造畸形的过滤语法，绕过GeoServer的词法解析从而造成SQL注入，获取服务器中的敏感信息，甚至可能获取数据库服务器权限。
GeoServer 存在 sql 注入漏洞
murphysec的博客
03-01 2827
GeoServer 是一个允许用户共享和编辑地理空间数据的开源软件服务器，支持 OGC Filter expression 和 OGC Common Query Language 语言，使用 PostGIS Datastore 作为数据库。PostGIS是PostgreSQL数据库的扩展程序，增加了数据库对地理对象的支持。
GeoServer OGC Filter SQL注入漏洞（CVE-2023-25157）vulhub漏洞复现
qq_53003652的博客
07-06 1670
GeoServer 是 OpenGIS Web 服务器规范的 J2EE 实现，利用 GeoServer 可以方便的发布地图数据，允许用户对特征数据进行更新、删除、插入操作。GeoServer是一款JAVA编写的、开源的、用于共享地理空间数据的软件服务器。GeoServer实现了 开放地理空间信息联盟(OGC )标准下WFS、WMS、WCS、WMTS等格式的发布。在利用漏洞前，需要目标服务器中存在类型是PostGIS的数据空间（datastore）和工作空间（workspace）。成功注入获取版本信息。
GeoServer漏洞（CVE-2023-25157）
m0_73605862的博客
12-04 1202
3.然后进行模糊搜索写入，利用了布尔注入进行注入，返回结果。通过绕过前面的strStartsWith语句然后在后面查询了版本，并且变成了数字。1.了解了一下这个geoserver的请求规范，顺便了解一下这个网页的请求规范以及返回结果是什么。4.修改注入语句，不知道返回成功了没有（好奇第一条数据有这么长吗），用了另外一种也返回的这个。然乎知道漏洞是用户在输入的时候可能不规范造成的sql注入，并且这个还支持模糊查询。前半部分是sql注入一些语句的测试，后面是漏洞的复现和利用。1.查看user 表。
CVE-2023-25157-main(1).zip
07-19
总而言之，CVE-2023-25157是一个涉及GeoServer的SQL注入漏洞，通过复现该漏洞，我们可以更好地理解其风险，并采取必要的措施来保护我们的系统。提供的压缩包文件包含的信息将有助于这一过程，对于学习安全防护和提升...
geoserver-2.15.2-vectortiles-plugin.zip
07-10
《GeoServer 2.15.2 VectorTiles 插件详解》 GeoServer是一款开源的地理信息系统（GIS）服务器，它能够发布地图数据并提供Web服务接口，支持各种GIS标准，如WMS（Web Map Service）、WFS（Web Feature Service）等...
geoserver-2.20.3-vectortiles-plugin.zip_geoserver插件
07-14
解决geoserver跨域问题，！！！！
geoserver-2.15.1-vectortiles-plugin.zip
07-26
《GeoServer 2.15.1 矢量切片插件详解及应用》 GeoServer是一款开源的地理信息系统（GIS）服务器，它能够发布和管理地理空间数据，并通过Web服务接口提供给用户访问。在GIS领域，GeoServer以其强大的功能和灵活的...
geoserver-manager-1.8-SNAPSHOT.rar
09-16
在"geoserver-manager-1.8-SNAPSHOT.rar"这个压缩包中，包含了GeoServer Manager的1.8-SNAPSHOT版本。这个版本可能包含了对GeoServer的最新改进和优化，例如提升性能、增加新功能或者修复已知问题。安装和使用这个...
【严重】GeoServer 存在 sql 注入漏洞(POC已公开)
murphysec的博客
06-19 1843
GeoServer是一款开源地图服务器，主要用于发布、共享和处理各种地理空间数据。在GeoServer 的受影响版本中由于未对用户传入的 CQL_FILTER参数进行安全校验，在以数据库作为数据存储时，攻击者可构造攻击语句，绕过GeoServer语法解析，通过sql注入获取数据库敏感信息。在GeoServer默认配置中，内置图层数据存放在文件中，不受此漏洞影响，若应用程序创建自定义图层并使用外置数据库才会受此漏洞影响。
geoserver SQL注入、Think PHP5 SQL注入、spring命令注入
最新发布
qq_55202378的博客
05-11 388
介绍：是一个开源的地理信息系统（GIS）服务器，用于发布、共享和管理地理空间数据和地图服务。它是一个基于Java的应用程序。访问 payload： 是php开发框架。 payload1： thinkphp_gui_tools也是可以检测出该SQL注入漏洞的。 spring是一个java框架~ 直接访问是一个错误页面。 直接发送下面的数据包：
1day速达软件NET接口处存在RCE漏洞
weixin_43167326的博客
05-07 785
速达软件专注中小企业管理软件，产品涵盖进销存软件，财务软件，ERP软件，CRM系统，项目管理软件，OA系统，仓库管理软件等，是中小企业管理市场的佼佼者，提供产品、技术、服务等信息，百万企业共同选择。速达软件全系产品存在任意文件上传漏洞，未经身份认证得攻击者可以通过此漏洞上传恶意后门文件，执行任意指令，造成服务器失陷。
浅析GeoServer CVE-2023-25157 SQL注入
蚁景网安学院
06-21 811
GeoServer是一个开源的地图服务器，它是遵循OpenGIS Web服务器规范的J2EE实现，通过它可以方便的将地图数据发布为地图服务，实现地理空间数据在用户之间的共享。
GeoServer SQL 注入漏洞复现（CVE-2023-25157）附poc_geoserverl漏洞
m0_60666452的博客
04-03 1056
还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！【完整版领取方式在文末！！
【1day】复现GeoServer CVE-2023-25157 SQL注入
记录并分享学习安全的知识点..
07-19 756
​ GeoServer是一个开源的地图服务器，它是遵循OpenGIS Web服务器规范的J2EE实现，通过它可以方便的将地图数据发布为地图服务，实现地理空间数据在用户之间的共享。由于未对用户输入进行过滤，在使用需要以数据库作为数据存储的功能时，攻击者可以构造畸形的过滤语法，绕过GeoServer的词法解析从而造成SQL注入，获取服务器中的敏感信息，甚至可能获取数据库服务器权限。 ​
GeoServer SQL 注入漏洞复现（CVE-2023-25157）附poc
网络安全爱好者，分享渗透测试、漏洞复现、src挖掘，靶场搭建知识和技巧
12-23 2282
GeoServer是OpenGIS Web 服务器规范的 J2EE 实现，利用 GeoServer 可以方便的发布地图数据，允许用户对特征数据进行更新、删除、插入操作，通过 GeoServer 可以比较容易的在用户之间迅速共享空间地理信息。在2.22.1和2.21.4之前版本中，在开放地理空间联盟（OGC）标准定义的过滤器和函数表达式中发现了一个SQL注入问题，未经身份验证的攻击者可以利用该漏洞进行SQL注入，执行恶意代码。
geoserver sql注入
07-28
GeoServer存在SQL注入漏洞，攻击者可以通过构造畸形的过滤语法绕过GeoServer的词法解析，从而获取服务器中的敏感信息甚至可能获取数据库服务器权限。\[2\]具体的攻击示例是通过发送特定的HTTP请求来实现注入，其中包括了查询图层名称和属性名称的参数。\[3\] 为了防止SQL注入攻击，建议采取以下措施： 1. 及时更新GeoServer和相关组件的版本，以确保修复了已知的漏洞。 2. 对用户输入进行严格的验证和过滤，确保输入的数据符合预期的格式和类型。 3. 使用参数化查询或预编译语句来执行数据库操作，而不是直接拼接用户输入的数据。 4. 限制GeoServer的访问权限，只允许授权的用户或IP地址进行访问。 5. 监控和记录GeoServer的日志，及时发现异常行为并采取相应的应对措施。 通过采取以上措施，可以有效减少SQL注入攻击对GeoServer的威胁。 #### 引用[.reference_title] - *1* [GeoServer 存在 sql 注入漏洞](https://blog.csdn.net/murphysec/article/details/129278735)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control_2,239^v3^insert_chatgpt"}} ] [.reference_item] - *2* *3* [GeoServer SQL注入漏洞复现（CVE-2023-25157）](https://blog.csdn.net/qq_41904294/article/details/131117123)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control_2,239^v3^insert_chatgpt"}} ] [.reference_item] [ .reference_list ]

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值