Panalog 日志审计系统 libres_syn_delete.php 前台RCE漏洞复现

最新推荐文章于 2025-12-12 14:04:07 发布
最新推荐文章于 2025-12-12 14:04:07 发布
阅读量1.2k 收藏
点赞数 4
CC 4.0 BY-SA版权
分类专栏： 漏洞复现v1 文章标签： 安全 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41904294/article/details/136124514
本文介绍了Panalog日志审计系统中的libres_syn_delete.php前台远程命令执行漏洞，详细阐述了漏洞概述、影响范围，并提供了复现环境和修复建议。攻击者可利用该漏洞执行任意命令，影响版本为MARS r10p1Free及更低。修复措施包括更新官方补丁和限制访问策略。

0x01 产品简介

Panalog是一款日志审计系统，方便用户统一集中监控、管理在网的海量设备。

0x02 漏洞概述

Panalog日志审计系统 libres_syn_delete.php接口处存在远程命令执行漏洞，攻击者可执行任意命令，接管服务器权限。

0x03 影响范围

version <= MARS r10p1Free

0x04 复现环境

FOFA：app="Panabit-Panalog"

0x05 漏洞复现

PoC

POST /content-apply/libres_syn_delete.php HTTP/1.1
Host: your-ip
User-Agent: Mo
了解本专栏 订阅专栏 解锁全文 超级会员免费看
【漏洞复现】panalog日志审计系统任意用户创建漏洞和后台命令执行
失心少年
10-23 1005
技术文章仅供参考，任何个人和组织使用网络应当遵守宪法法律，遵守公共秩序，尊重社会公德，不得利用网络从事危害国家安全、荣誉和利益，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。本文所提供的工具仅用于学习，禁止用于其他！panalog为北京派网软件有限公司，一款流量分析，日志分析管理的一款软件。存在任意用户创建漏洞和后台命令执行漏洞，可先通过任意用户创建，然后进行后台命令执行，获取服务器权限。
Panalog 日志审计系统 sprog_deletevent.php SQL 注入漏洞复现
0xSec
12-10 1366
Panabit /Maintain/sprog_deletevent.php 文件的 id 参数存在 SQL 注入漏洞，可导致数据库信息泄露从而获取敏感信息，甚至可能被攻击者进一步利用造成更大危害。
Panalog大数据日志审计系统libres_syn_delete.php存在命令执行漏洞
李同學的安全圈
02-19 996
Panalog大数据日志审计系统定位于将大数据产品应用于高校、 公安、 政企、 医疗、 金融、 能源等行业之中，针对网络流量的信息进行日志留存，可对用户上网行为进行审计，逐渐形成大数据采集、 大数据分析、 大数据整合的工作模式，为各种网络用户提供服务。
RabbitMQ【部署 01】一篇学会RabbitMQ服务依赖的下载安装及简单使用（首次登录 User can only log in via localhost 问题处理）(1)
2301_77121488的博客
05-08 1225
也可以直接安装rabbitmq-server从报错信息里获取需要的版本，由于是同一个网站，下载的方式是一样的，这次也是直接下载安装文件。，朋友们如果有需要全套《网络安全入门+黑客进阶学习资源包》，可以扫描下方二维码领取（如遇扫码问题，可以在评论区留言领取哦）~此时服务已经可以使用了，但是，默认情况下，RabbitMQ是没有安装WEB端插件的，需要手动积获才可以生效。点击下载，可以进行联网下载安装也可以直接进行下载，本次选择直接下载安装文件。因篇幅有限，仅展示部分资料。还有大家最喜欢的黑客技术。
Panalog大数据日志审计系统libres_syn_delete.php命令执行漏洞
故事讲予风听
02-25 464
Panalog大数据日志审计系统定位于将大数据产品应用于高校、 公安、 政企、 医疗、 金融、 能源等行业之中，针对网络流量的信息进行日志留存，可对用户上网行为进行审计，逐渐形成大数据采集、 大数据分析、 大数据整合的工作模式，为各种网络用户提供服务。
【漏洞复现】Panalog-日志审计系统-libres_syn_delete-rce
知黑而守白
02-20 217
Panalog是一款日志审计系统，方便用户统一集中监控、管理在网的海量设备。​​​​​​​Panalog日志审计系统 libres_syn_delete 接口处存在远程命令执行漏洞，攻击者可执行任意命令，接管服务器权限。
Panalog 日志审计系统五处RCE漏洞（含批量验证poc）
2401_86951451的博客
09-11 553
Panalog是一款日志审计系统,方便用户统一集中监控、管理在网的海量设备。
Panalog 日志审计系统五处RCE漏洞
weixin_43567873的博客
03-08 253
Panalog 日志审计系统五处RCE漏洞
Panabit-Panalog ipgrp_handle SQL注入漏洞
qq_45936921的博客
01-03 962
Panabit-Panalog日志系统后台 ipgrp_handle.php接口存在SQL注入漏洞，攻击者可以通过此漏洞获取数据库敏感信息，用户名密码等凭据，进一步利用可获取服务器权限
NetMizer 日志管理未授权访问+FTP登录
失心少年
08-04 434
北京灵州网络技术有限公司NetMizer日志管理系统存在目录遍历漏洞，由于 /data 控制不严格，攻击者可利用该漏洞获取敏感信息。
panalog安装手册
06-09
panalog安装手册
panalog 日志管理系统
12-23
panalog 配合panabit 的日志管理 查询 记录用户行为日志系统 满足网安的要求是运营商必选的系统
Panabit上网行为管理安装及Panalog日志对接
weixin_68029979的博客
11-13 5918
由于近期在做实训需要用到Panabit上网管理软件，在安装过程中遇到了许多问题。而且在网络上，并没有找到相关的解决方法，因此书写该篇文章以记录过程。。Panabit的连接方式：作为进行连接。要求：内网能连接互联网，设置策略等。
linux导出日志关键字数据_Linux版本的Panalog大数据日志分析系统正式公测
weixin_39856208的博客
11-10 1050
Panalog的Linux版本正式公测大家好，相信了解派网的小伙伴们最近已经发现了，自Panabit智能应用网关软件的Linux版本发布后，在部署上增加了非常大的灵活性和适用性。而今天给大家带来的是，Panalog的Linux版本，为了让大家能够尽快上手体验，下面直接介绍Linux版本的详细部署步骤。由于是公测，为了方便大家反馈问题，请小伙伴们扫描文章最后的微信二维码加群进行问题的反馈...
OpenHarmony Flutter 分布式安全与隐私保护：跨设备可信交互与数据防泄漏方案
2501_93721151的博客
12-11 691
在开源鸿蒙（OpenHarmony）全场景分布式生态中，跨设备安全与隐私保护是实现多设备协同的生命线。随着设备间数据流通与交互频率的提升，数据泄露、身份伪造、权限滥用等安全风险也随之加剧；传统单设备安全方案难以适配分布式场景下的可信交互需求。基于开源鸿蒙的分布式安全服务（DSS）与 Flutter 的跨端安全开发能力，能够构建一套 **“设备可信认证、数据加密传输、权限动态管控、隐私数据脱敏”** 的分布式安全与隐私保护解决方案，赋能金融支付、健康医疗、智能家居等高敏感场景的跨设备协同。本文聚焦。
第十一篇：Day31-33 前端安全与性能监控——从“能用”到“安全可靠”（对标职场“系统稳定性”需求）
2402_87628679的博客
12-11 1181
对于小型项目或特定业务场景，可通过自定义埋点实现核心指标监控，无需接入复杂工具。// src/utils/monitor.js（自定义监控工具） import axios from 'axios';// 监控数据上报接口（后端提供） const MONITOR_UPLOAD_URL = '/api/monitor/upload';
安全审查--跨站请求伪造--双重提交Cookie模式
petunsecn的专栏
12-12 670
本文详细讲解了双重提交Cookie模式防御CSRF攻击的原理与实现。首先通过网上银行转账案例展示了CSRF攻击的危害性，解释了攻击者如何利用浏览器自动携带Cookie的特性发起恶意请求。随后深入剖析了双重提交Cookie的核心理念：利用同源策略，要求请求同时携带Cookie中的token和请求头/体中的token进行双重验证。 文章从零开始演示了实现步骤：1)服务器设置可被JavaScript读取的CSRF Token Cookie；2)前端获取Cookie中的token并添加到请求头；3)服务器验证两个t
DNS协议安全
weixin_61562383的博客
12-12 975
许多企业的防火墙会拦截内部员工直接访问外部网站的 HTTP/TCP 连接，但通常会放行 DNS 流量，因为员工需要解析域名才能工作。阴影域名：黑客攻破了合法网站（如 example.com）的管理权，创建了恶意的子域名（如 bad.example.com）。DNS 协议在设计之初就像是在“明信片”上写字，任何人都可以拦截、修改（中间人攻击），或者伪造一张新的明信片发给你（欺骗/投毒）。：为了防止命令控制服务器（C&C）的域名被封杀，僵尸程序会内置一套算法，每天自动生成成千上万个随机域名。
App反诈骗：一场面向移动生态的深度安全战争（接上文短信反诈）
最新发布
xixixi7777的博客
12-12 1138
App反诈骗的最终目标是构建一个安全、可信、透明技术支柱：持续创新的检测与防御技术制度支柱：完善的法律法规与行业标准治理支柱：跨平台、跨行业的协同治理机制教育支柱：提升开发者和用户的安全意识经济支柱：建立正向激励与惩罚机制与短信反诈相比，App反诈的战场更广、链条更长、对抗更复杂。这是一场技术、法律、经济、社会的综合性战役，其成功不仅需要先进的技术手段，更需要生态系统各方的共同责任和长期投入。真正的App反诈不是简单的"查杀"，而是通过纵深防御、主动狩猎、生态治理。
可以写一段爬虫 爬取http://libres.gdut.edu.cn/reso/home.html里的资源网站吗
04-01
很抱歉，作为语言模型，我不能直接编写代码。...这样，您就可以爬取http://libres.gdut.edu.cn/reso/home.html里的资源网站链接了。但请注意，爬虫应该尊重网站的Robots协议，不要过度频繁地访问网站，也不要滥用爬虫。
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

0xSecl

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值