企望制造ERP存在远程命令执行漏洞 附POC

最新推荐文章于 2024-09-14 10:24:09 发布
最新推荐文章于 2024-09-14 10:24:09 发布
阅读量153 收藏 1
点赞数
分类专栏： 漏洞复现 文章标签： 安全性测试 web安全 安全 网络安全 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/nnn2188185/article/details/133053363
版权

文章目录

企望制造ERP存在远程命令执行漏洞 附POC

免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。

1. 企望制造ERP简介

微信公众号搜索：南风漏洞复现文库
该文章 南风漏洞复现文库 公众号首发

企望制造纸箱业erp系统由深知纸箱行业特点和业务流程的多位IT专家打造，具有国际先进的管理方式，将现代化的管理方式融入erp软件中，让企业分分钟就拥有科学的管理经验。 erp的功能包括成本核算、报价定价、订单下达、生产下单、现场管理等多种功能。

2.漏洞描述

由于企望制造 ERP comboxstore.action接口权限设置不当，默认的配置可执行任意SQL语句，利用xp_cmdshell函数可远程执行命令，未经认证的攻击者可通过该漏洞获取服务器权限。

CVE编号:

CNNVD编号:

CNVD编号:

3.影响版本

了解本专栏 订阅专栏 解锁全文 超级会员免费看
sublime88
关注
专栏目录
订阅专栏
企望制造ERP系统 RCE漏洞复现
0xSec
08-14 1952
由于企望制造 ERP comboxstore.action接口权限设置不当，默认的配置可执行任意SQL语句，利用xp_cmdshell函数可远程执行命令，未经认证的攻击者可通过该漏洞获取服务器权限
企望制造ERP系统 RCE漏洞[2023-HW]
holyxp的博客
08-18 794
企望制造纸箱业erp系统由深知纸箱行业特点和业务流程的多位IT专家打造，具有国际先进的管理方式，将现代化的管理方式融入erp软件中，让企业分分钟就拥有科学的管理经验。erp的功能包括成本核算、报价定价、订单下达、生产下单、现场管理等多种功能。由于企望制造 ERP comboxstore.action接口权限设置不当，默认的配置可执行任意SQL语句，利用xp_cmdshell函数可远程执行命令，未经认证的攻击者可通过该漏洞获取服务器权限。
企望制造ERP系统命令执行漏洞复现
08-16 543
企望制造纸箱业erp系统由深知纸箱行业特点和业务流程的多位IT专家打造，具有国际先进的管理方式，将现代化的管理方式融入erp软件中，让企业分分钟就拥有科学的管理经验。erp的功能包括成本核算、报价定价、订单下达、生产下单、现场管理等多种功能。
【漏洞复现】企望制造ERP系统 RCE漏洞
失心少年
01-01 1234
技术文章仅供参考，任何个人和组织使用网络应当遵守宪法法律，遵守公共秩序，尊重社会公德，不得利用网络从事危害国家安全、荣誉和利益，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。本文所提供的工具仅用于学习，禁止用于其他！企望制造ERP系统是畅捷通公司开发的一款领先的生产管理系统，它以集成化管理为核心设计理念，通过模块化机制，帮助企业实现生产、采购、库存等方面的高效管理。使用POC进行复现，抓包进行拦截数据包，修改请求包，使用POC进行漏洞测试。
企望-命令执行漏洞
weixin_44382333的博客
10-06 131
企望制造纸箱业erp系统由深知纸箱行业特点和业务流程的多位IT专家打造，具有国际先进的管理方式，将现代化的管理方式融入erp软件中，让企业分分钟就拥有科学的管理经验。erp的功能包括成本核算、报价定价、订单下达、生产下单、现场管理等多种功能。
企望制造ERP系统RCE漏洞 复现
薛定谔嘚喵博客
09-14 466
企望制造纸箱行业ERP系统涉及纸箱企业管理的各个方面，包括成本核算，报价定价，订单下达，生产排单，现场管理，成品入库，出货配送，全业务流程财务结算，质量管理贯穿始终，将纸箱企业管理水平提升到一个全新的高度，实现精确计算，合理规划，高效监管、分工合作、充分沟通的管理理念。在/mainFunctions/comboxstore.action路径下，该网站存在RCE漏洞。
0day漏洞-畅捷通TPlus Ufida.T.DI.UIP.ashx存在远程命令执行漏洞 附POC软件
weixin_43167326的博客
03-18 821
畅捷通T+专属云适用于需要一体化管理的企业，财务管理、业务管理、零售管理、生产管理、物流管理、移动仓管、营销管理、委外加工等人财货客一体化管理。畅捷通TPlus存在远程命令执行漏洞。
NUUO摄像头远程命令执行漏洞复现 [附POC]
薛定谔嘚喵博客
10-26 636
NUUO Network Video Recorder（NVR）是中国台湾NUUO公司的一款网络视频记录器。NUUO NVR视频存储管理设备__debugging_center_utils___.php存在未授权远程命令执行漏洞，攻击者可在没有任何权限的情况下通过log参数执行任意PHP代码，从而入侵服务器，获取服务器的管理员权限。
jeecg-boot/积木报表系统testConnection接口存在远程命令执行漏洞 附POC
nnn2188185的博客
12-19 1916
JeecgBoot 是一款开源的的低代码开发平台，积木报表是其中的低代码报表组件。
GeoServer /geoserver/wms接口存在远程命令执行漏洞
nnn2188185的博客
05-22 665
GeoServer /geoserver/wms接口存在远程命令执行漏洞
第三方软件测评机构简析：软件安全性测试的方法和流程
卓码测评
09-12 506
随着信息技术的迅猛发展，软件在各行各业的应用日益普遍，软件安全性问题也愈加凸显。近几年来，频发的数据泄露、网络攻击事件，给企业和个人带来了不可估量的损失。这使得软件安全性测试成为软件开发过程中不可或缺的重要环节。
网络安全（黑客技术）2024年三个月自学手册
最新发布
2401_85026116的博客
09-14 2337
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。走安全行业的工程方向的，技术上面其实有很大的重叠性，抛开甲乙方、岗位名称、岗位职责等因素来看，作为学技术的，也根据以往我们给学员推荐就业和入职情况来看，只要好好掌握以下几种技术（网络协议与安全设备、Linux操作系统、Web服务部署/开发、主流渗透测试/安全工具、一门及以上的编程语言）中的2到3个，都可以较好的胜任工作需求。
【网络安全】漏洞挖掘
anquan2233的博客
08-29 1975
在springframeworl/expression/spel/stand/InternalSpelExpressionParser/doParseExpression()方法中、会在tokenizer.process()中 对token进行 源码与字节码的判断操作、继续向下。会进入到springframework/cloud/function/context/config/RoutingFunction/functionFromExpression()方法。Payload 的构造可以参考官方测试用例。
【网络安全】-文件上传漏洞
weixin_65311462的博客
09-10 924
文件上传漏洞指hacker能利用网站能让用户上传文件的功能，在上传过程中上传木马，直接连接或配合文件包含漏洞获取webshell，从而导致用户权限丢失，隐私泄露。成功getshell后hacker还可以长期控制受影响的网站或服务器，进行持续性的攻击和破坏，甚至会将受控制的服务器作为攻击其他目标的跳板，利用该服务器的资源和网络带宽发起更广泛的网络攻击。
【网络安全】-文件上传漏洞实战-upload-labs（0~16）
weixin_65311462的博客
09-09 1504
准备：一句话木马：
网络安全 L1 Introduction to Security
weixin_74400487的博客
09-12 701
Then he/she may be able to decrypt passwords offline using brute force (thereby bypassing methods to prevent on-line password cracking).暴力破解是一种尝试所有可能的密码组合，直到找到正确密码的方法。由于这种破解尝试是在攻击者的系统上进行的，而不是直接针对目标系统，因此它可以绕过目标系统上可能存在的防止在线密码破解的措施，如账户锁定策略或登录尝试限制。
零基础小白能学网络安全吗？
2401_83781461的博客
09-11 292
网络安全涉及很多内容、计算机网络、暴力破解、安全工具、漏洞扫描、渗透测试、社会工程学、密码学、编程能力等等等等，学习起来需要大量的时间和精力。首先，问出这个问题的朋友，我大致判断一下，你对网络安全并不了解，只是单纯看到某个视频某篇文章，对其感兴趣，说白了你没有足够的动力驱动。但这并不意味着你不能学习。如果你正好是相反之人，可以先接触学学看，如果真的很难理解其中的概念和原理，那么或许你真的不适合学习网络安全。在大众眼中，网络安全可能就是黑别人网站的，账号被盗了能帮忙找到的，还有遇见老赖问能不能找到这个人的。
【网络安全】-文件下载漏洞-pikachu
weixin_65311462的博客
09-11 1059
网站对用户查看和下载文件不做限制，使hacker可以利用利用这些文件进行提权操作，完全控制服务器，进而以服务器为跳板攻击网站其他系统，进一步扩大攻击范围。文件上传漏洞是指hacker利用网站或web应用系统中用户上传文件的功能，在上传过程中上传恶意文件，这些恶意文件在服务器端被解析时产生漏洞，从而导致攻击者能够在服务器上执行任意代码的一种安全漏洞。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

sublime88

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值