九思OA user_list_3g.jsp SQL注入漏洞复现

已于 2024-02-02 20:59:27 修改
阅读量507 收藏 1
点赞数 2
分类专栏： 漏洞复现 文章标签： 安全 web安全
于 2024-02-02 20:57:49 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41904294/article/details/136000553
版权
本文介绍了北京九思协同办公软件的专业版及其user_list_3g.jsp存在的SQL注入漏洞。攻击者能利用此漏洞获取数据库敏感信息，甚至在某些情况下控制服务器。复现环境通过FOFA查询，修复建议包括限制用户参数和设置访问策略。
摘要由CSDN通过智能技术生成

0x01 产品简介

北京九思协同办公软件专业版是面向高端集团企业、多元化集团企业、大型企业的协同办公OA管理软件，由协同工作、工作流程、公共信息、知识管理、外部邮件、人事基础信息管理、门户应用和办理中心等模块组成，iThink协同办公集团OA软件专业版为企业解决了办公自动化管理的核心需求，实现企业内部知识、市场、销售、研发、人事、行政等方面的协同管理，通过iThink协同办公集团OA软件信息的高度共享和各种业务的流程化，及灵活高效的管理运营模式，使企业通过协同办公集团OA系统的

了解本专栏 订阅专栏 解锁全文 超级会员免费看
0xSecl
关注
专栏目录
订阅专栏
九思OA软件user_list_3g.jsp存在SQL注入漏洞
做自己喜欢的事，并将其发挥到极致！
02-28 736
九思软件为中国高端OA系统知名品牌，九思OA软件`user_list_3g.jsp`存在SQL注入漏洞。
九思OA wap.do接口任意文件读取漏洞复现 [附POC]
薛定谔嘚喵博客
12-25 614
九思协同办公软件wap.do接口处存在任意文件读取漏洞,攻击者可通过该漏洞读取系统重要文件(如数据库配置文件、系统配置文件)、数据库配置文件等等。
热网无线监测系统GetDataKindByType存在SQL注入漏洞
weixin_43167326的博客
09-04 765
山东思达特测控设备有限公司是以物联网科技、信息通讯、知识数字化为基础，以先进智造技术为依托的综合性能源解决方案服务商，在智慧热力、智慧燃气、智慧水务、分布式能源等领域深耕技术，为客户提供安全运维、数字计量、绿色环保、高效节能的综合性服务解决方案。山东思达特测控设备有限公司热网无线监测系统 GetDataKindByType存在SQL注入漏洞。
九思OA XXE漏洞复现
iSee857的博客
08-23 566
九思OA /jsoa/WebServiceProxy 接口处存在XML实体注入漏洞，未经身份认证的攻击者可利用此漏洞获取服务器内部敏感数据，调用外部非可信源实体。关闭互联网暴露面或接口设置访问权限。
九思OA wap.do 任意文件读取漏洞复现
0xSec
12-21 1586
北京九思协同办公软件wap.do接口处存在任意文件读取漏洞，攻击者可通过该漏洞读取系统重要文件（如数据库配置文件、系统配置文件）、数据库配置文件等等，导致网站处于极度不安全状态。
某购物商城系统commodtiy接口处存在任意文件上传漏洞
weixin_43167326的博客
05-10 932
某购物商城系统commodtiy接口处存在任意文件上传漏洞,恶意攻击者可以上传恶意软件，例如后门、木马或勒索软件，以获取对服务器的远程访问权限或者破坏系统，对服务器造成极大的安全隐患。
九思OA user_list_3g.jsp SQL注入
weixin_43567873的博客
03-06 49
九思OA user_list_3g.jsp SQL注入
【漏洞复现】九思OA-user-list-3g-sql注入
知黑而守白
02-02 350
九思OA办公软件全面实现协同工作、公文、流程审批、知识管理、项目管理、综合办公、信息共享、移动办公 等应用功能，并能够与其他异构系统整合，打破信息孤岛，建立完整的有效的企业工作平台和移动办公软件。九思OA协同办公系统 user_list_3g 接口存在SQL注入漏洞。攻击者可以通过构造恶意的SQL语句，成功注入并执行恶意数据库操作，可能导致敏感信息泄露、数据库被篡改或其他严重后果。
【漏洞复现】九思OA-wap-任意文件读取
知黑而守白
01-15 243
九思OA办公软件全面实现协同工作、公文、流程审批、知识管理、项目管理、综合办公、信息共享、移动办公 等应用功能，并能够与其他异构系统整合，打破信息孤岛，建立完整的有效的企业工作平台和移动办公软件。九思OA协同办公系统 wap 接口存在文件读取漏洞。攻击者可以通过恶意构造的请求读取服务器上的任意文件，包括敏感的系统文件。此漏洞可能导致泄露敏感信息，为攻击者提供足够的信息来进一步渗透系统。
西软云XMS getresponseasync XXE漏洞复现
0xSec
04-17 612
西软云XMSgetresponseasync 接口处存在XML实体注入漏洞，未经身份认证的攻击者可利用此漏洞获取服务器内部敏感数据，使系统处于极不安全状态。
【漏洞复现】九思OA user_list_3g.jsp 存在SQL注入漏洞
KKleeeaa的博客
02-06 437
声明：亲爱的读者，我们诚挚地提醒您，Aniya网络安全的技术文章仅供个人研究学习参考。任何因传播或利用本实验室提供的信息而造成的直接或间接后果及损失，均由使用者自行承担责任。Aniya网络安全及作者对此概不负责。如有侵权，请立即告知，我们将立即删除并致歉。九思OA中的user_list_3g.jsp接口处存在SQL注入漏洞，攻击者可通过此漏洞进一步渗透，甚至获取管理员账户密码。用户输入的参数进行限制。增加WAF，设置白名单。0x02FOFA语句。
【复现】九思OA系统 SQL注入漏洞_43
fushuang333的博客
02-08 1277
【复现】九思OA系统 SQL注入漏洞，攻击者未经授权可以访问数据库中的数据，盗取用户的隐私以及个人信息，造成用户的信息泄露。
九思OA user-list-3g sql注入
hackzkaq的博客
02-07 498
九思OA办公软件全面实现协同工作、公文、流程审批、知识管理、项目管理、综合办公、信息共享、移动办公 等应用功能，并能够与其他异构系统整合，打破信息孤岛，建立完整的有效的企业工作平台和移动办公软件。申明：本账号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法。环境搭建、HTML，PHP，MySQL基础学习，信息收集，SQL注入,XSS，CSRF，暴力破解等等。2、如非必要，禁止公网访问该系统。帮助你在面试中脱颖而出。3、设置白名单访问。
【漏洞汇总】近十日漏洞汇总（已公布poc）
weixin_45840241的博客
04-27 947
【代码】【漏洞汇总】近十日漏洞汇总（已公布poc）
探秘金和OA：解析任意文件读取漏洞的潜在威胁
梦里明明有六趣，觉后空空无大千
08-12 403
是喜是悲，但可以慰藉的是，你总不枉在这世界上活了一场，有了这样的认识，你就会珍重生活，而不会玩世不恭；同时也会给人自身注入一种强大的内在力量……
Spring Boot视频网站：安全与可扩展性设计
最新发布
2401_85702623的博客
10-16 1076
本次程序开发选用的数据库管理工具是MySQL数据管理工具，使用它存放数据也需要创建程序对应的数据库文件，并命名刚创建的数据库文件，有了数据库也需要创建各种数据表来充实数据库，在数据表的创建中，不仅需要对数据表命名，也需要对数据表的字段进行设计，包括每个数据表里面需要设置的字段名称，字段对应的数据类型信息，字段的主键设置这个也是不可缺少的，因为每个数据表里面的主键就是标记着这个数据表跟其他数据表相区分的唯一标志。addtime timestamp 否 CURRENT_TIMESTAMP 创建时间。
Gin框架操作指南08：日志与安全
技术卷的博客
10-16 983
本节演示日志与安全相关的API，包括定义路由日志的格式；如何记录日志；安全页眉；使用BasicAuth中间件；使用HTTP方法。
CTFHUB技能树之HTTP协议——响应包源代码
weixin_73049307的博客
10-13 635
点击“开始”没有抓取到报文，先看看网页源代码是什么情况。居然直接给出flag了，不知道这题的意义何在。是个贪吃蛇小游戏，看不出来有什么特别的地方。
oa项目java_九思软件：CIO选型OA办公系统实操方法
05-17
在选型OA办公系统之前，需要先明确自己的需求，以及公司的规模、业务流程等情况。接下来，可以按照以下实操方法进行选型： 1. 制定选型标准：根据公司的需求和规模，制定选型标准，包括功能需求、性能要求、安全...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

0xSecl

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值