西软云XMS-futurehotel/operate-XXE漏洞

最新推荐文章于 2024-04-17 12:45:33 发布
最新推荐文章于 2024-04-17 12:45:33 发布
阅读量561 收藏 1
点赞数 1
分类专栏： 漏洞文库 文章标签： 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/cobra_cobra/article/details/136406452
版权
西软云XMS中的XopServerRS/rest/futurehotel/operate接口存在未认证XML实体注入漏洞，可能导致攻击者获取敏感数据，系统面临安全风险。文章提供了漏洞复现方法和修复建议，建议用户升级至最新版本以保障系统安全。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

漏洞描述：

西软云XMS /XopServerRS/rest/futurehotel/operate接口处存在XML实体注入漏洞，未经身份认证的攻击者可利用此漏洞获取服务器内部敏感数据，使系统处于极不安全状态。

影响版本：

网站图片:

网络测绘:

fofa语法：

FOFA：app="shiji-西软云XMS"

360quake语法:

Hunter 语法:

漏洞复现:

payload：

POST /XopServerRS/rest/futurehotel/operate HTTP/1.1
Host: your-ip
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_12_6) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/108.0.3157.54 Safari/537.
最低0.47元/天 解锁文章
【漏洞复现】西软云XMS-query-XXE
知黑而守白
03-01 230
西软云XMS是基于云平台数据中心开发的支持多酒店、多语言、多平台的酒店管理系统。致力于以新一代云架构为国内四，五星级中高端酒店提供灵活、高度整合酒店业务，助力酒店智能转型升级。西软云XMS query 接口存在一处XML外部实体（XXE）漏洞。攻击者通过精心构造的XML文件可能导致系统解析敏感信息，从而获取敏感数据或执行潜在的攻击。
【漏洞复现】西软云XMS-operate-XXE
知黑而守白
03-01 355
西软云XMS是基于云平台数据中心开发的支持多酒店、多语言、多平台的酒店管理系统。致力于以新一代云架构为国内四，五星级中高端酒店提供灵活、高度整合酒店业务，助力酒店智能转型升级。西软云XMS operate 接口存在一处XML外部实体（XXE）漏洞。攻击者通过精心构造的XML文件可能导致系统解析敏感信息，从而获取敏感数据或执行潜在的攻击。
西软云XMS 反序列化RCE漏洞复现
0xSec
12-29 2280
西软云XMS/fox-invoker/FoxLookupInvoker接口处存在反序列化漏洞，未经身份认证的攻击者可利用此漏洞执行任意代码，获取服务器权限。
西软云XMS-futurehotel-operate 接口存在XXE漏洞
qq_36334672的博客
03-08 420
西软云XMS-futurehotel-query接口存在XXE漏洞。
西软云XMS futurehotel/query XXE漏洞复现
0xSec
02-29 927
西软云XMS/XopServerRS/rest/futurehotel/query接口处存在XML实体注入漏洞，未经身份认证的攻击者可利用此漏洞获取服务器内部敏感数据，使系统处于极不安全状态。
西软云XMS-futurehotel-query接口存在XXE漏洞
qq_36334672的博客
03-08 388
西软云XMS-futurehotel-query接口存在XXE漏洞。
西软云XMS futurehotel/operate XXE漏洞复现
0xSec
02-29 950
西软云XMS/XopServerRS/rest/futurehotel/operate接口处存在XML实体注入漏洞，未经身份认证的攻击者可利用此漏洞获取服务器内部敏感数据，使系统处于极不安全状态。
【漏洞复现】西软云XMS-反序列化-FoxLookupInvoker
知黑而守白
04-01 448
西软云XMS是基于云平台数据中心开发的支持多酒店、多语言、多平台的酒店管理系统。致力于以新一代云架构为国内四，五星级中高端酒店提供灵活、高度整合酒店业务，助力酒店智能转型升级。西软云XMS FoxLookupInvoker 接口存在一处反序列化漏洞。攻击者可能通过操纵序列化的数据，引发未经授权的代码执行，从而危及应用程序的安全性。
西软云XMS getresponseasync XXE漏洞复现
0xSec
04-17 744
西软云XMSgetresponseasync 接口处存在XML实体注入漏洞，未经身份认证的攻击者可利用此漏洞获取服务器内部敏感数据，使系统处于极不安全状态。
[xms]西软xms试算平衡报表-穿透明细报表-增加储值卡卡号列
浩秦的博客
10-11 657
只能呵呵哒 [xms]西软xms试算平衡报表-穿透明细报表-增加储值卡卡号列 pospay select menu,vipcard from pos_pay where paycode='9303' and hotelid='${hotelid}' union select menu,vipcard from pos_hpay where paycode='9303' ...
[西软xms]会员卡消费和余额情况表
浩秦的博客
11-06 799
select * from vipcard; #过滤卡类型财富卡（CFK）权益卡（QYK）幸福卡（XFK） select id from vipcard where (card_class ='XFK' OR card_class ='CFK' OR card_class ='QYK'); SELECT * FROM vipcard where no ='999...
一文解读，网络安全行业人才需求情况《网络安全产业人才发展报告》
weixin_59086772的博客
10-18 8683
随着近几天国家网络安全宣传周在全国各地开展活动，网络安全再一次成为热门话题。网络安全不再缩在小小的安全圈子里，惠及面越来越广。不少对网络安全颇有兴趣的朋友非常关心行业前景如何？该怎么提升自我能力，更快地加入网安行列。 今天雨笋君就10月13日在网络安全宣传周上发布的《2021网络安全人才报告》进行一个简单的行业前景分析。 一、网络安全行业市场发展情况 网络时代生活越来越离不开网络，与此同时发生的网络安全攻击事件、非法入侵等等一系列事件都威胁着普通人的生活。没有网络安全保障，个人和企业等重.
北京市城-郊梯度森林表土碳组分及其影响因素数据集（2019）
05-02
作者于2019年6月下旬至7月初，从北京市中心（紫禁城）到郊区设置了4条不同走向（东北、西北、西南和正南）的城—郊梯度样带；随机选取了20个独立的城市森林公园进行采样。每个公园选择3块典型森林斑块，采集表层（0-10 cm）和亚表层（10-20 cm）土壤样品，并测定了土壤总碳含量、土壤有机碳含量、颗粒态有机碳和矿物结合态有机碳含量。该数据集内容包括：（1）样点位置数据；（2）研究区森林表土总碳、总有机碳、总无机碳、颗粒态有机碳和矿物结合态有机碳含量；（3）森林表土碳组分含量与不同影响因素数据，包括：土壤数据（土壤pH、土壤粘粉粒含量）、植被数据（植被覆盖度、公园年龄、树种多样性）、气候数据（年均温、年降水量）。数据集存储为.shp和.xlsx格式，由8个数据文件组成，数据量为30.7 KB（压缩为1个文件，27 KB）。田越韩, 郭泓伯, 高晓飞等. 北京森林表土碳组分城郊梯度变化及其影响因素[J]. 地理学报, 2024, 79(1): 206-217. DOI: 10.11821/dlxb202401013.
USB转串口模块：CH340与FT232双选，61*35mm尺寸，原理图&PCB版
05-02
内容概要：本文详细介绍了集成CH340和FT232两款芯片的USB转串口模块的设计与应用。该模块尺寸为61x35mm，采用跳线帽进行芯片切换，支持多种接口（USB-A公头、Mini USB母座）和电源输出（5V和3.3V）。文中探讨了硬件配置、电源设计、信号切换电路以及PCB布局等方面的细节，并提供了Python、Arduino和Linux下的代码示例来展示不同场景下的使用方法。此外，还分享了一些实际项目中的经验和注意事项，如波特率适配、电磁兼容性和稳压电路设计等。 适合人群：从事嵌入式系统开发、硬件设计及相关领域的工程师和技术爱好者。 使用场景及目标：适用于需要灵活选择USB转串口芯片的项目，特别是在工业级应用场景中，能够提供稳定的通信解决方案。目标是帮助开发者更好地理解和利用这一模块，提高开发效率和产品质量。 其他说明：文中提到的双芯片设计方案不仅兼顾了成本效益，还能满足不同项目的特定需求。对于初学者来说，可以通过提供的代码示例快速上手；而对于资深工程师，则可以深入研究硬件设计细节，优化现有产品。
基于水平集进化的轮廓提取MATLAB代码实现及优化策略研究
05-02
内容概要：本文详细探讨了利用MATLAB实现水平集进化进行图像轮廓提取的方法。首先介绍了传统的水平集演化方法存在的问题，如频繁的重新初始化导致计算效率低下和分割精度波动。接着提出了一种改进方案，即在演化方程中引入正则化项来自适应地维护水平集的良好状态，从而避免了显式的重新初始化操作。此外，还讨论了曲率计算方法的优化以及参数选择的影响，并展示了改进前后算法性能的具体对比实验结果。 适合人群：从事图像处理、计算机视觉领域的研究人员和技术开发者，尤其是对水平集方法有一定了解并希望提高其实战应用效果的专业人士。 使用场景及目标：适用于需要精确分割图像中目标对象的应用场合，如医学影像分析（CT、MRI）、遥感图像处理等。主要目的是提升图像分割的速度和准确性，同时降低计算资源消耗。 其他说明：文中提供了多个MATLAB代码片段用于解释各个关键技术点，便于读者理解和实践。对于想要深入了解水平集演化的机制及其优化策略的人来说是非常有价值的参考资料。
MLP信息熵随深度增加的变化
05-02
MLP信息熵研究完整代码
西门子S7-200 PLC与触摸屏实现的恒压供水系统全套图纸程序：一拖二与一拖三配置的实践应用
05-02
内容概要：本文详细介绍了基于西门子S7-200 PLC的恒压供水系统的设计与实现。系统采用一拖二或一拖三模式，确保供水系统的可靠性。核心组件包括PLC、富士PID控制模块和ABB变频器，通过精确的压力控制和快速响应，实现了稳定的恒压供水。文中提供了详细的PLC程序示例，涵盖水泵启停控制、PID算法调用以及变频器频率调节等功能。此外，还展示了触摸屏界面设计，用于实时监控和操作。硬件配置方面，强调了柜体制作图纸的重要性和规范性，确保电气接线正确无误。调试过程中，作者分享了许多实用技巧，如PID参数整定、变频器设置和故障切换逻辑等。 适合人群：从事工业自动化领域的工程师和技术人员，尤其是对PLC编程和恒压供水系统感兴趣的读者。 使用场景及目标：适用于工业现场的恒压供水系统设计与实施，旨在提高供水系统的稳定性和可靠性，减少因设备故障导致的生产中断。 其他说明：本文不仅提供了完整的硬件配置和软件编程指导，还分享了丰富的实战经验和调试技巧，帮助读者更好地理解和应用相关技术。
恒压供水系统：西门子224xp PLC与ABB变频器一拖二（一对一变频）控制系统
05-02
内容概要：本文详细介绍了基于西门子224XP PLC和ABB ACS510变频器的一对一变频恒压供水系统的设计与实现。系统旨在保持管网压力恒定，确保用户在不同用水需求下获得稳定水压。硬件配置包括西门子S7-224XP PLC、ABB ACS510变频器以及昆仑通态触摸屏。系统采用双PID控制策略，分为低频段和高频段控制，以提高响应速度和稳定性。此外，通过合理的逻辑设计实现了变频器之间的无缝切换，确保压力波动最小。实际应用案例表明，该系统显著减少了压力波动，降低了能耗，提升了用户满意度。 适合人群：从事工业自动化领域的工程师和技术人员，特别是对PLC编程和变频器配置有一定经验的人群。 使用场景及目标：适用于需要恒压供水的高层建筑、住宅小区等场所，目标是实现高效的水资源管理和节能降耗。 其他说明：文中还分享了一些调试技巧和注意事项，如变频器参数配置、PID参数调整、模拟量输出切换逻辑等，有助于实际项目的顺利实施。
KepWare与HMI的OPC连接通信：解决老PLC与新触摸屏连接难题的案例程序
最新发布
05-02
内容概要：本文详细介绍了如何利用OPC技术和KepWare软件解决老PLC与新触摸屏之间的连接问题。首先解释了OPC的作用及其工作机制，接着阐述了KepWare作为OPC服务器的功能和配置方法，包括添加设备驱动、配置参数以及创建标签。随后展示了具体的案例程序，如配置Modbus TCP通道、定义标签并进行数据转换，以及在HMI端使用VB脚本、C#代码等实现与KepWare的连接和数据交互。此外，文中还提供了关于优化性能、处理常见错误和故障排查的方法，如调整超时时间、设置心跳检测机制等。 适合人群：从事工业自动化领域的工程师和技术人员，尤其是需要解决老旧设备与现代控制系统兼容性的相关人员。 使用场景及目标：适用于需要将传统PLC集成到现代化HMI系统的场合，旨在确保不同年代、不同品牌的工业设备能够稳定可靠地相互通信，提高生产效率和维护便利性。 其他说明：文中不仅提供了详细的理论讲解，还有丰富的实战经验和技巧分享，帮助读者快速掌握相关技能并在实际工作中应用。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值