kkFileview存在任意文件读取漏洞

最新推荐文章于 2024-02-04 13:43:32 发布
最新推荐文章于 2024-02-04 13:43:32 发布
阅读量7.2k 收藏 11
点赞数 8
文章标签： 安全 web安全 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/nnn2188185/article/details/130383820
版权

文章目录

kkFileview存在任意文件读取漏洞

1. kkFileview简介

微信公众号搜索：南风漏洞复现文库
该文章 南风漏洞复现文库 公众号首发

kkFileView，一款成熟且开源的文件文档在线预览项目解决方案。kkFileView为文件文档在线预览解决方案，该项目使用流行的spring boot搭建，易上手和部署，基本支持主流办公文档的在线预览，如doc,docx,xls,xlsx,ppt,pptx,pdf,txt,zip,rar,图片,视频,音频等等

2.漏洞描述

Keking KkFileview是中国凯京科技（Keking）公司的一个 Spring-Boot 打造文件文档在线预览项目。
Keking kkFileview 存在安全漏洞，该漏洞源于存在通过目录遍历漏洞读取任意文件，可能导致相关主机上的敏感文件泄漏。

3.影响版本

4.fofa 查询语句

body=“kkFileView”

5.漏洞复现

漏洞数据包如下，因为浏览器编码的原因，直接访问链接不会触发漏洞，需要以数据包的形式访问:

http://127.0.0.1/getCorsFile?urlPath=file:///etc/passwd

kkFileview存在任意文件读取漏洞

kkFileview存在任意文件读取漏洞

6.POC&EXP

关注公众号 南风漏洞复现文库 并回复 漏洞复现24 即可获得该 POC 工具下载地址：

本次的 poc 加入了代理功能，方便各位师傅调试。

kkFileview存在任意文件读取漏洞

7.整改意见

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：https://github.com/kekingcn/kkFileView/issues/304

8.往期回顾

sublime88
关注
  • 8
    点赞
  • 踩
  • 11
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
kkFileView文档管理系统任意文件读取
weixin_43567873的博客
03-26 163
kkFileView文档管理系统任意文件读取
ourphp 1.8 后台任意文件读取漏洞1
08-04
漏洞简介：OurPHP（傲派建站系统）是一款使用PHP语言开发的网站内容管理系统，开发商为哈尔滨伟成科技有限公司。OurPHP 1.8版本存在任意文件读取漏洞，
kkFileView漏洞总结
渗透测试研究中心
05-04 816
0x00 kkFileview存在任意文件读取漏洞漏洞描述Keking KkFileview是中国凯京科技(Keking)公司的一个 Spring-Boot 打造文件文档在线预览项目。Keking kkFileview 存在安全漏洞，该漏洞源于存在通过目录遍历漏洞读取任意文件，可能导致相关主机上的敏感文件泄漏。漏洞影响kkFileview <=3.6.0fofa查询body="kkFile...
bagecms V3.1.3 后台任意文件读取漏洞1
08-03
漏洞简介：BageCMS是一套基于PHP和MySQL的跨平台的内容管理系统（CMS）。管理功能过滤不严导致任意文件读取漏洞。##漏洞分析在文件 www\prot
Adminer≤4.6.2任意文件读取漏洞1
08-03
Adminer≤4.6.2 任意件读取漏洞0x01 前SQLite、PostgreSQL 等众多主流数据库，类似于 phpMyAdmin 的 MySQL 管理客
nc57-任意文件读取漏洞补丁
06-08
nc57_任意文件读取漏洞补丁
Docker安装kkfileview，kkfileview在docker部署后预览出现预览中的字体样式与源文件不同的解决办法,动态水印 kkfileview漏洞修复
chenthe1的专栏
06-21 4338
Docker容器环境环境运行 漏洞修复 拉取镜像docker pull keking/kkfileview 原运行方式： docker run -it -p 8012:8012 keking/kkfileview一般容器里面的 Linux是精简版的，没有 less 、cat 、vim/vi 等命令，如果需要的话可以自己安装，默认自带 APT 命令。 APT安装vim，先进入需要安装的容器（docker exec -it 容器标识 bash ），再执行如下命令：
kkFileView任意读取漏洞思考
qq_82303224_的博客
04-26 2940
urlPath=file:///etc/passwd //突破限制目录。urlPath=file:///etc/passwd直接可以读文件和。urlPath=file:///etc/passwd 成功读取到内容，urlPath=file:///etc/passwd 提示限制目录预览。.思路7：..|/..|/..|/..|/..|/..|/..|/..|etc/passwd。file:///etc/passwd 也是 500。
kkfileview踩坑记录-清缓存+删除本地下载的文件
qq_39306234的博客
04-11 3407
kkfileview根据文件名删除缓存以及本地文件,文件重名问题解决
网络安全-kkFileViews任意文件读取漏洞原理解析
最新发布
weixin_39445116的博客
02-04 1302
在学习的过程中，了解到kkFileView存在任意文件读取、SSRF、文件上传漏洞。为了更深刻的理解其原理，我从git拉取了项目，由于该漏洞在最新版本已经修复，所以这只是历史版本中存在的。写这篇文章来提醒自己代码中容易出问题的地方。
泛微OA xmlrpcServlet接口任意文件读取漏洞（CNVD-2022-43245）
12-25
泛微OA xmlrpcServlet接口任意文件读取漏洞（CNVD-2022-43245），可以指定文件路径进行读取，并提供检测方案
jQuery-1.7.2任意文件读取漏洞验证利用脚本
04-27
jQuery是一个快速、简洁的JavaScript框架，丰富的Javascript代码库，在其1.7.2版本的sys_dia_data_down模块存在任意文件读取漏洞，攻击者可通过前台读取任意文件。
kkfileview阿里云安全扫描：威胁类型敏感信息回显 (Sensitive Information Response)
weixin_43866043的博客
03-30 1788
kkfileview
Linux部署openoffice、kkfileview 及定制化
qq_39022699的博客
03-09 1740
使用maven进行打包，将server\target文件夹下的kkFileView-4.1.0-SNAPSHOT.tar.gz上传并解压，kkfileview4.0.0存在一些漏洞，允许上传任意类型文件，容易被攻击，需要修改fileUpload方法，加上下面的代码。将C:\Windows\Fonts里面的字体都传到/usr/share/fonts/chinese中再分别执行下面的命令。可能会出现各种缺少文件的报错，可以把之前下载的压缩包里面的文件放在/opt/openoffice4/program。
任意文件读取漏洞
m0_57276420的博客
04-08 4751
任意文件读取漏洞（Arbitrary File Read Vulnerability）是指攻击者可以通过web应用程序读取任意文件而不受访问控制限制的漏洞。这种漏洞可能导致敏感信息泄露、系统崩溃等问题。攻击者可以利用任意文件读取漏洞访问服务器上的任意文件，包括密码文件、配置文件等，从而获取系统权限和敏感信息。此外，攻击者还可以利用该漏洞读取应用程序中的敏感数据，如数据库凭据、API密钥等。任意文件读取漏洞通常是由于未正确验证用户输入所导致的。
gitee开源程序kkFileView踩坑及解决方案
热门推荐
剑雪封喉
12-21 1万+
目录 前言 一、依赖选择 二、环境部署安装 2.1解压 2.2启动程序 2.3踩坑--------office.home配置有误 2.4踩坑问题解决 三、踩坑-------OFFICE组件不可用 3.1确认是否是office组件的问题 3.2验证office组件是否不可用 3.3验证office组件是否可用 四、踩坑-------officeHome must exist and be a directory 五、程序优化 5.1无法打开dox文件，使用KFV程序转义成pdf时会
Web安全原理剖析（二十一）——SSRF漏洞
Phantom03167的博客
01-12 532
SSRF漏洞
kkFileview任意文件读取漏洞复现
qq_44484541的博客
11-01 1369
kkFileView为文件文档在线预览解决方案，该项目使用流行的spring boot搭建，易上手和部署，基本支持主流办公文档的在线预览，如doc,docx,xls,xlsx,ppt,pptx,pdf,txt,zip,rar,图片,视频,音频等等。Keking kkFileview 存在安全漏洞，该漏洞源于存在通过目录遍历漏洞读取任意文件，可能导致相关主机上的敏感文件泄漏。Keking KkFileview是中国凯京科技（Keking）公司的一个 Spring-Boot 打造文件文档在线预览项目。
shopxo download 任意文件读取漏洞
09-02
shopxo是一种流行的开源电商系统，以其简单易用和灵活性而备受欢迎。然而，它也存在一些安全漏洞，包括任意文件读取漏洞。这个漏洞可能会使攻击者能够读取服务器上的任意文件，包括敏感的配置文件和用户数据。 要利用shopxo download任意文件读取漏洞，攻击者通常会构造特定的URL请求，注入恶意代码来访问目标文件。攻击者可能可以通过执行一系列步骤来实现此目标，例如： 1. 识别目标系统上潜在的敏感文件，如数据库配置文件、用户身份验证文件等。 2. 构造特定的URL来请求这些文件，使用目标系统的下载功能。 3. 在URL中注入特殊字符或路径遍历符号，以绕过访问限制和读取目标文件。 一旦攻击者成功读取到目标文件，他们可能会进一步利用这些信息来实施其他攻击，例如窃取用户信息、篡改网站内容或者进行其他恶意活动。 为了防范shopxo download任意文件读取漏洞，网站管理员可以采取以下措施： 1. 及时更新shopxo系统以修复任何已知漏洞，并安装最新的补丁程序。 2. 限制对敏感文件的访问权限，确保只有授权的用户能够访问它们。 3. 验证和过滤用户输入，以防止任意文件读取漏洞的利用。 4. 实施Web应用程序防火墙（WAF），以监视和阻止恶意请求。 5. 定期进行安全审计和漏洞扫描，以及对服务器和应用程序配置进行安全性评估。 通过采取这些预防措施，可以最大限度地减少shopxo download任意文件读取漏洞的风险，并确保网站和用户数据的安全性。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

sublime88

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值