用 XCOPY 往NCHOME中打补丁

 在NC开发过程中,我们经常要从别的补丁服务器给svn打补丁,如果复制的话一是会复制隐藏的svn目录,二是多且麻烦,而且不知道更新了哪些文件.这里可以用批处理进行打补丁.语句如下
@echo off
cd "C:/WINDOWS/system32"
@echo on
xcopy C:/modules D:/nchome/modules /d /e /c /g /r /y

 
效果如下
 
步骤解释
      1.关闭回显.
      2.切换到xcopy所在的路径.
      3.拷贝源文件夹到目标文件夹,只拷贝有差异的而且比较新的文件,并且不提示直接覆盖.
 

附 xcopy参数说明
使用这个命令,可以拷贝一个目录中的所有文件,包括该目录中的子目录的所有文件。
  拷贝目录及其子目录和文件(除隐含和系统文件)。
  使用这个命令,可以拷贝一个目录中的所有文件,包括该目录中的子目录的所有文件。
  语法 :
XCOPY source [destination][/Y][/-Y] [/A|/M] [/D:date] [/P] [/S[/E]] [/V]
[/W]
  参数 :
  source
  指定要拷贝的文件名和位置,必须包含驱动器或路径。
  destination
  指定拷贝的目标位置,可包含驱动器字母和冒号、目录名、文件名、或它们的组合。
  开关 :
  /Y
  指定让XCOPY在替换原有文件时不进行确认。默认时,若目标文件已经存在,XCOPY会让你确认是否替换原有文件(MS-DOS的旧版直接覆盖原有文件)。若XCOPY命令在批处理文件中执行,则XCOPY以旧版本的方式操作,不进行安全性确认。 此开关覆盖所有默认值和COPYCMD环境变量的当前设置。
  /-Y
  指定让XCOPY在替换原有文件时进行确认。此开关覆盖所有默认值和COPYCMD环境变量的当前设置。
  /A
  只拷贝那些档案文件属性已设置的源文件。这个开关不修改源文件的档案属性。关于如何设置档案文件属性的信息,请参阅ATTRIB命令。
  /M
  拷贝档案文件属性已设置的源文件。和/A开关不同,/M开关关闭源文件的档案文件属性。关于如何设置档案文件属性的信息,请参阅ATTRIB命令。
  /D:date
  只拷贝在指定日期之后修改过的源文件。注意日期的标准格式取决于正在使用的COUNTRY设置。
  /P
  在创建每一个目标文件时提示确认该文件。
  /S
  拷贝目录和子目录,除非它们为空。如果忽略这一开关,XCOPY就只在单个目录内部工作。
  /E
  拷贝目录和子目录,即使它们为空。如果忽略这一开关,XCOPY就只在单个目录内部工作。
  /V
  每次写目标文件时,检验目标文件和源文件是否完全相同。
  /W
  在拷贝文件之前显示如下信息并等待回答:
  按任意键开始文件拷贝。
 
用友 NC 是一款企业级管理软件,在近万家大型企业使用。实现建模、开发、继承、运行、管理一体化的 IT 解决方案信息化平台,其代码实现逻辑上存在多处反序列化漏洞。   2020 年 6 月 4 日,有国内安全组织披露用友 NC 存在反序列化远程命令执行“0-Day”漏洞。经分析,漏洞真实存在,攻击者通过构造特定的 HTTP 请求,可以成功利用漏洞在目标服务器上执行任意命令,该漏洞风险极大,可能造成严重的信息泄露事件。鉴于漏洞利用的源代码已经公开,建议用户尽快修复此漏洞。   2、攻击原理   通过UClient打开用友NC,UClient本质为UBroswer,一个专用的用友NC浏览器嵌入了JAVA运行环境,以解决NC 6系列之前的版本applet在不同设备上的应用问题。经过文件目录查看分析得知用友UClient安装后,会在用户目录下新建uclient文件夹,根据看到的NCLogin65.jar文件,结合java运行进程信息,分析得知是一些界面和登陆逻辑代码,nc_client_home则是NC应用依赖的其他一些代码和jar包,因此可以使用Luyten反编译工具查看NCLogin65.jar,通过简单运行NC应用,尝试进行用户登陆,使用wireshark抓包,查看app.log运行日志,发现大量serialize和deserialize,说明系统应用了序列化方式来传送数据。在LoginUI类的login方法打断点,启动Idea进行跟踪调试,当跟踪到loginImple方法时,发现多处调用了NCLocator的lookup方法查找Service接口进行操作,通过跟踪发现,实际使用了RmiNCLocator类,RmiNCLocator类的lookup方法,这里的lookup,已初步判断出无需继续跟踪调试,可以直接通过jndi注入漏洞进行利用。   黑客就是通过构造特定的 HTTP 请求,成功利用漏洞可在目标服务器上执行任意命令,漏洞暂无安全补丁发布,属 0Day 等级,风险极大。黑客利用漏洞可完全控制服务器,获取服务器的敏感信息。   3、影响范围   用友NC全版本
评论 1
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值