【漏洞复现】帮管客-CRM-jiliyu-任意用户添加

最新推荐文章于 2024-10-17 15:56:45 发布
最新推荐文章于 2024-10-17 15:56:45 发布
阅读量94 收藏
点赞数
分类专栏： 漏洞复现 文章标签： web安全 漏洞复现
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_44905116/article/details/136734948
版权
本文介绍了帮管客CRM系统的一个安全漏洞，该漏洞允许攻击者通过构造恶意请求添加系统管理员，导致严重安全隐患。内容包括漏洞概述、复现过程和修复建议，强调了限制接口访问权限、数据加密传输、身份验证和监控审计的重要性。
摘要由CSDN通过智能技术生成

目录

免责声明

0x01 产品简介

0x02 漏洞概述

0x03 网络测绘

0x04 漏洞复现

0x05 Nuclei

0x06 修复建议 

免责声明

此内容仅供技术交流与学习，请勿用于未经授权的场景。请遵循相关法律与道德规范。任何因使用本文所述技术而引发的法律责任，与本文作者及发布平台无关。如有内容争议或侵权，请及时私信我们！

0x01 产品简介

        帮管客CRM基于先进的客户管理系的客户管理体系CRM营销理念设计集客户档案、销售记录、业务往来于一体，以凝聚客户关系、提升资源价值为核心，将潜在客户转化为现实客户，从而提高销量、用户满意度和企业竞争力。帮助客户CRM适用于中小企业的一般客户关系管理系统，整合了长期从事管理软件开发的丰富经验和先进技术，采用领先的系统B/S(浏览器/服务器)操作模式使网络办公不受地域限制。

0x02 漏洞概述

       

了解本专栏 订阅专栏 解锁全文 超级会员免费看
.Rain.
关注
专栏目录
订阅专栏
润申信息企业标准化管理系统 多处SQL注入漏洞复现
0xSec
11-30 1014
润申信息科技企业标准化管理系统 CommentStandardHandler.ashx、DefaultHandler.ashx接口处存在SQL注入漏洞。攻击者可利用漏洞获取数据库中的信息（例如，管理员后台密码、站点的用户个人信息）之外，甚至在高权限的情况可向服务器中写入木马，进一步获取服务器系统权限。
帮管客-CRM-jiliyu-任意用户添加
weixin_43567873的博客
03-15 69
帮管客-CRM-jiliyu-任意用户添加
最新0day！！用友U8-Cloud UploadFile接口存在任意文件读取漏洞
weixin_43167326的博客
04-02 709
U8 cloud 聚焦成长型、创新型企业的云 ERP，基于全新的企业互联网应用设计理念，为企业提供集人财物客、产供销于一体的云 ERP 整体解决方案，全面支持多组织业务协同、智能财务，人力服务、构建产业链智造平台，融合用友云服务实现企业互联网资源连接、共享、协同。该系统存在任何文件读取漏洞。
【漏洞复现】帮管客-CRM-jiliyu-sql注入
知黑而守白
03-08 110
帮管客CRM基于先进的客户管理系的客户管理体系CRM营销理念设计集客户档案、销售记录、业务往来于一体，以凝聚客户关系、提升资源价值为核心，将潜在客户转化为现实客户，从而提高销量、用户满意度和企业竞争力。帮助客户CRM适用于中小企业的一般客户关系管理系统，整合了长期从事管理软件开发的丰富经验和先进技术，采用领先的系统B/S(浏览器/服务器)操作模式使网络办公不受地域限制。帮管客CRM客户资源管理系统 jiliyu 接口存在SQL注入漏洞。
帮管客 CRM SQL注入漏洞复现
0xSec
11-26 938
帮管客CRM客户管理系统/index.php/message 接口存在 sql 注入漏洞，未经身份认证的攻击者可通过此漏洞获取数据库敏感信息。
【漏洞复现】帮管客-CRM-tongxunlu-信息泄漏
知黑而守白
03-15 121
帮管客CRM基于先进的客户管理系的客户管理体系CRM营销理念设计集客户档案、销售记录、业务往来于一体，以凝聚客户关系、提升资源价值为核心，将潜在客户转化为现实客户，从而提高销量、用户满意度和企业竞争力。帮助客户CRM适用于中小企业的一般客户关系管理系统，整合了长期从事管理软件开发的丰富经验和先进技术，采用领先的系统B/S(浏览器/服务器)操作模式使网络办公不受地域限制。帮管客CRM客户资源管理系统 tongxunlu 接口在一个信息泄漏漏洞，使得未经授权的用户或攻击者可以获取敏感信息。
【漏洞复现】帮管客-CRM-ajax_upload-任意文件上传
知黑而守白
03-28 73
帮管客CRM基于先进的客户管理系的客户管理体系CRM营销理念设计集客户档案、销售记录、业务往来于一体，以凝聚客户关系、提升资源价值为核心，将潜在客户转化为现实客户，从而提高销量、用户满意度和企业竞争力。帮助客户CRM适用于中小企业的一般客户关系管理系统，整合了长期从事管理软件开发的丰富经验和先进技术，采用领先的系统B/S(浏览器/服务器)操作模式使网络办公不受地域限制。
帮管客 存在用户信息泄露-漏洞复现-附EXP
Liyu_6618的博客
02-11 477
帮管客 存在用户信息泄露-漏洞复现-附EXP
【漏洞复现】帮管客-CRM-ajax_upload_chat-任意文件上传
知黑而守白
03-28 70
帮管客CRM基于先进的客户管理系的客户管理体系CRM营销理念设计集客户档案、销售记录、业务往来于一体，以凝聚客户关系、提升资源价值为核心，将潜在客户转化为现实客户，从而提高销量、用户满意度和企业竞争力。帮助客户CRM适用于中小企业的一般客户关系管理系统，整合了长期从事管理软件开发的丰富经验和先进技术，采用领先的系统B/S(浏览器/服务器)操作模式使网络办公不受地域限制。
服务器和中转机协同工作以提高网络安全
最新发布
owolai的博客
10-17 321
服务器和中转机（代理服务器）可以通过多种方式协同工作来提高网络安全。
如何用3个月零基础入门网络安全？_网络安全零基础怎么学习
2401_84466224的博客
10-15 1097
我们知道计算机最早是在西方发明出来的，很多名词或者代码都是英文的，甚至现有的一些教程最初也是英文原版翻译过来的，而且一个漏洞被发现到翻译成中文一般需要一个星期的时间，在这个时间差上漏洞可能都修补了。”答案是否定的，黑客用的电脑,不需要什么高的配置,只要稳定就行.因为黑客所使用的一些程序,低端CPU也可以很好的运行,而且不占什么内存.还有一个,黑客是在DOS命令下对进行的,所以电脑能使用到最佳状态!观看学习近十年所有0day挖掘的帖，然后搭建环境，去复现漏洞，去思考学习笔者的挖洞思维，培养自己的渗透思维。
如何利用被动DNS（Passive DNS）加强网络安全
2401_84466229的博客
10-17 601
被动DNS是由Florian Weimer于2004年发明的，用于对抗恶意软件。基本上，递归名称服务器将它们从其他名称服务器接收到的响应记录下来，并将记录的数据复制到一个中央数据库。那么记录的数据会是什么样子呢？好吧，回想一下递归名称服务器的运作方式。在被查询时，它们会检查它们的缓存和权威数据以获取答案，如果答案不存在，它们会从一个根名称服务器查询并遵循引荐，直到找到知道答案的权威名称服务器，然后查询其中一个权威名称服务器以检索答案。它看起来像这样：递归名称服务器。
网络安全（黑客技术）2024年三个月自学手册
2401_85026116的博客
10-17 529
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。走安全行业的工程方向的，技术上面其实有很大的重叠性，抛开甲乙方、岗位名称、岗位职责等因素来看，作为学技术的，也根据以往我们给学员推荐就业和入职情况来看，只要好好掌握以下几种技术（网络协议与安全设备、Linux操作系统、Web服务部署/开发、主流渗透测试/安全工具、一门及以上的编程语言）中的2到3个，都可以较好的胜任工作需求。
运维怎么转行网络安全？
wananxuexihu的博客
10-17 977
网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。
2024年网络安全进阶手册：三个月黑客技术自学路线
2401_85027336的博客
10-12 1167
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。走安全行业的工程方向的，技术上面其实有很大的重叠性，抛开甲乙方、岗位名称、岗位职责等因素来看，作为学技术的，也根据以往我们给学员推荐就业和入职情况来看，只要好好掌握以下几种技术（网络协议与安全设备、Linux操作系统、Web服务部署/开发、主流渗透测试/安全工具、一门及以上的编程语言）中的2到3个，都可以较好的胜任工作需求。
网络安全的全面指南
qq_42568323的博客
10-09 1307
网络安全是指保护计算机网络及其数据免受未经授权访问、攻击或破坏的过程。其目标是确保信息的机密性、完整性和可用性。
网络安全公司及其主要产品介绍
xixixi7777的博客
10-13 414
各大安全公司提供的网络安全产品针对不同的企业需求和网络架构，涵盖从端点安全、网络安全到云安全的全方位解决方案。在选择网络安全产品时，企业应结合自身的网络规模、威胁类型和业务需求，选择适合的产品组合，以建立健全的网络安全体系。Huawei Cyber Security Intelligence System（CIS）：基于大数据的安全智能平台，支持安全威胁的早期检测和响应。FireEye Helix：集成SIEM和安全运营中心功能的安全管理平台，提供集中化的威胁管理和自动化响应。
网络安全（黑客）——自学2024
2401_84466325的博客
10-10 2163
网络安全是一种综合性的概念，涵盖了保护计算机系统、网络基础设施和数据免受未经授权的访问、攻击、损害或盗窃的一系列措施和技术。经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。作为一个合格的网络安全工程师，应该做到攻守兼备，毕竟知己知彼，才能百战百胜。
机器学习如何在网络安全中使用？
2401_84488651的博客
10-17 253
本文概述了基础机器学习概念，并解释了机器学习在网络安全行业中日益增长的应用，以及主要优势、主要用例、常见误解和 CrowdStrike 的机器学习方法。机器学习 （ML） 是人工智能 （AI） 的一个子集，指的是教授算法从现有数据中学习模式以预测新数据答案的过程。尽管术语 AI 和 ML 经常互换使用，但这两个概念之间存在重要差异。人工智能是指训练机器在现实世界环境中模仿或模拟人类智能过程的技术，而机器学习是指从数据中学习以做出预测的计算机系统（“模型”）。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

.Rain.

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值