【漏洞复现】用友-畅捷通T+-InitServerInfo-SQL注入

最新推荐文章于 2024-07-26 10:40:43 发布
最新推荐文章于 2024-07-26 10:40:43 发布
阅读量122 收藏
点赞数
分类专栏： 漏洞复现 文章标签： web安全 漏洞复现
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_44905116/article/details/136669527
版权
本文介绍了用友畅捷通T+系统中的一个SQL注入漏洞，该漏洞存在于InitServerInfo接口，允许攻击者通过构造恶意SQL语句执行数据库操作，可能引发敏感信息泄露和数据库篡改。建议采用参数化查询、预编译语句、用户输入验证、权限控制、定期更新和安全审计来防范此类风险。
摘要由CSDN通过智能技术生成

目录

免责声明

0x01 产品简介

0x02 漏洞概述

0x03 网络测绘

0x04 漏洞复现

0x05 Nuclei

0x06 修复建议 

免责声明

此内容仅供技术交流与学习，请勿用于未经授权的场景。请遵循相关法律与道德规范。任何因使用本文所述技术而引发的法律责任，与本文作者及发布平台无关。如有内容争议或侵权，请及时私信我们！

0x01 产品简介

        用友畅捷通 T+是一款基于互联网的新型企业管理软件，功能模块包括：财务管理、采购管理、库存管理等。主要针对中小型工贸和商贸企业的财务业务一体化应用，融入了社交化、移动化、物联网、电子商务、互联网信息订阅等元素。

0x02 漏洞概述

        用友畅捷通 T+系统 InitServerInfo 接口存在SQL注入漏洞。攻击者可以通过构造恶意的SQL语句，成功注入并执行恶意数据库操作，可

了解本专栏 订阅专栏 解锁全文 超级会员免费看
.Rain.
关注
专栏目录
订阅专栏
【漏洞复现】畅捷通T+ App_Code.ashx 远程命令执行漏洞
凝聚力安全团队
06-17 851
畅捷通T+ Ufida.T.CodeBehind._PriorityLevel,App_Code.ashx?method=GetStoreWarehouseByStore 接口存在反序列化漏洞，可导致命令执行。被攻击者利用此漏洞可直接接管服务器。
畅捷通T+ 反序列化漏洞复现（QVD-2023-13615）
0xSec
06-23 4533
畅捷通 T+ 存在.net反序列化漏洞，未经过身份认证的攻击者可以通过构造恶意的序列化请求在目标服务器上执行任意命令。
用友畅捷通T+Plus存在SSRF漏洞
最新发布
weixin_43167326的博客
07-26 638
用友畅捷通TPlus移动是集全渠道运营、前后台经营一体化智能商业产品的移动端。是T+专属移动APP。满足商贸、工贸企业的移动办公需求。
漏洞复现--用友 畅捷通T+ .net反序列化RCE
qq_53003652的博客
10-25 1433
畅捷通T+是一款新型互联网企业管理软件。全面满足成长型小微企业对其灵活业务流程的管控需求，重点解决往来业务管理、订单跟踪、资金、库存等管理难题。该产品存在.net反序列化可导致RCE。访问执行命令的日志文件即test.txt。执行ipconfig /all。此脚本来自揽月安全团队。
【漏洞复现】畅捷通T+ keyEdit SQL注入漏洞
凝聚力安全团队
06-17 416
畅捷通 T+ 是一款基于互联网的新型企业管理软件，功能模块包括：财务管理、采购管理、库存管理等。主要针对中小型工贸和商贸企业的财务业务一体化应用，融入了社交化、移动化、物联网、电子商务、互联网信息订阅等元素。畅捷通T+ keyEdit,aspx 存在SQL注入漏洞，攻击者通过漏洞可以获取服务器数据库权限。
【漏洞复现1day】畅捷通T+ RRATableController,Ufida.T.DI.UIP.ashx 反序列化RCE漏洞
qq_34780861的博客
03-21 929
畅捷通T+ RRATableController,Ufida.T.DI.UIP.ashx 反序列化RCE漏洞
【漏洞复现】用友-畅捷通T+-Ufida-SQL注入
知黑而守白
01-22 348
用友畅捷通 T+是一款基于互联网的新型企业管理软件，功能模块包括：财务管理、采购管理、库存管理等。主要针对中小型工贸和商贸企业的财务业务一体化应用，融入了社交化、移动化、物联网、电子商务、互联网信息订阅等元素。用友畅捷通 T+某模块存在SQL注入漏洞。攻击者可以通过构造恶意的SQL语句，成功注入并执行恶意数据库操作，可能导致敏感信息泄露、数据库被篡改或其他严重后果。
【漏洞复现】用友-畅捷通T+-App_Code-远程命令执行
知黑而守白
01-22 238
用友畅捷通 T+是一款基于互联网的新型企业管理软件，功能模块包括：财务管理、采购管理、库存管理等。主要针对中小型工贸和商贸企业的财务业务一体化应用，融入了社交化、移动化、物联网、电子商务、互联网信息订阅等元素。用友畅捷通 T+某模块存在远程命令执行漏洞。攻击者可以通过构造恶意的数据包，成功注入并执行恶意命令，可能导致系统敏感信息泄露、篡改、服务器接管或其他严重后果。
用友-畅捷通T+-InitServerInfo-SQL注入
weixin_43567873的博客
03-13 79
用友-畅捷通T+-InitServerInfo-SQL注入
【漏洞复现】用友畅捷通T+ SQL注入漏洞
2301_79099363的博客
07-13 1496
【漏洞复现】用友畅捷通T+ SQL注入漏洞
【漏洞复现】用友-畅捷通T+-Ufida-信息泄露
知黑而守白
01-22 204
用友畅捷通 T+是一款基于互联网的新型企业管理软件，功能模块包括：财务管理、采购管理、库存管理等。主要针对中小型工贸和商贸企业的财务业务一体化应用，融入了社交化、移动化、物联网、电子商务、互联网信息订阅等元素。用友畅捷通 T+某模块存在信息泄漏漏洞。攻击者可以通过构造恶意的数据包请求，导致敏感信息泄露或其他严重后果。
畅捷通T+ KeyInfoList.aspx SQL漏洞复现
0xSec
04-06 518
由于畅捷通T+的KeyInfoList.aspx接口处未对用户的输入进行过滤和校验，未经身份验证的攻击者除了可以利用SQL注入漏洞获取数据库中的信息（例如，管理员后台密码、站点的用户个人信息）之外，甚至在高权限的情况可向服务器中写入木马，进一步获取服务器系统权限。
（附nuclei 批量验证文件）用友 畅捷通T+ GetStoreWarehouseByStore RCE漏洞复现
nglj9527的博客
05-30 268
用友 畅捷通T+ GetStoreWarehouseByStore RCE漏洞可执行命令。
【1day】复现用友畅捷通CRM create_site.phpSQL注入漏洞
记录并分享学习安全的知识点..
08-08 358
用友CRM是专为小企业量身打造的智慧型客户关系管理应用，它包括客户、商机、报价、团队管理、客户营销、客户服务、主题查询及统计分析，帮助企业管好客户、管好业务员、做好销售业务；系统还提供通知、审批、短信、文档、任务等协作功能，提高销售团队的协作效率，其中 create_site.php接口存在时间盲注漏洞。
【复现】畅捷通T-Plus SQL注入漏洞_65
fushuang333的博客
03-17 928
【复现】畅捷通T-Plus SQL注入漏洞，​攻击者未经授权可以访问数据库中的数据，盗取用户的隐私以及个人信息，造成用户的信息泄露。
用友畅捷通T+-某接口存在远程命令执行漏洞-未公开1day漏洞复现
weixin_43167326的博客
01-29 649
用友畅捷通T+软件存在远程命令执行漏洞，攻击者可以利用该漏洞绕过系统鉴权，在特定配置环境下实现任意文件的上传，从而执行任意代码，获得服务器控制权限。目前该漏洞已被攻击者利用来进行勒索病毒攻击，建议客户尽快做好自查及防护。
畅捷通T+任意文件上传(CNVD-2022-60632 )漏洞复现
qq_50854662的博客
11-09 5201
畅捷通T+任意文件上传(CNVD-2022-60632 )漏洞复现
用友畅捷通T+ keyEdit sql注入漏洞
Keepb1ue的博客
05-11 582
畅捷通 T+ 是一款灵动，智慧，时尚的基于互联网时代开发的管理软件，主要针对中小型工贸与商贸企业，尤其适合有异地多组织机构（多工厂，多仓库，多办事处，多经销商）的企业，涵盖了财务，业务，生产等领域的应用，产品应用功能包括：采购管理、库存管理、销售管理、生产管理、分销管理、零售管理、往来管理、现金银行管理、总账、移动应用等，融入了社交化、移动化、电子商务、互联网信息订阅等元素，为企业打造全新的生意模式、管理模式、工作模式。
用友畅捷通T+库存锁定二次开发实操：保障销售订单交付
本文档主要探讨了如何通过用友畅捷通T+'的二次开发来实现库存锁定功能，以满足特定业务场景的需求。深圳市鼎立通信息技术有限公司提供了一个实际案例，针对产品销售过程中遇到的问题，即当客户支付定金后，需要确保...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

.Rain.

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值