【漏洞复现】宏景HCM-SQL注入-downlawbase

最新推荐文章于 2024-06-14 14:08:33 发布
最新推荐文章于 2024-06-14 14:08:33 发布
阅读量360 收藏
点赞数 12
分类专栏： 漏洞复现 文章标签： web安全 漏洞复现
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_44905116/article/details/137602290
版权

目录

免责声明

0x01 产品简介

0x02 漏洞概述

0x03 网络测绘

0x04 漏洞复现

0x05 Nuclei

0x06 修复建议

免责声明

此内容仅供技术交流与学习，请勿用于未经授权的场景。请遵循相关法律与道德规范。任何因使用本文所述技术而引发的法律责任，与本文作者及发布平台无关。如有内容争议或侵权，请及时私信我们！

0x01 产品简介

宏景HCM系统是一款由宏景软件研发的系统，主要功能包括人员、组织机构、档案、合同、薪资、保险、绩效、考勤、招聘、培训、干部任免和人事流程等业务的管理，以及人事、绩效、培训、招聘、考勤等业务自助，还具备了报表功能和灵活的表格工具，支持集团管控、目标管理、领导决策等应用。

0x02 漏洞概述

该漏洞存在于宏景EHR人力资源管理系统的 showmediainfo 接口处，该功能存在SQL注入漏洞。攻击者可以通过构造恶意的SQL语句，成功注入并执行恶意数据库操作，可能导致敏感信息泄露、数据库被篡改或其他严重后果。

0x03 网络测绘

icon_hash&
了解本专栏 订阅专栏 解锁全文 超级会员免费看
.Rain.
关注
  • 12
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
订阅专栏
某购物商城系统commodtiy接口处存在任意文件上传漏洞
weixin_43167326的博客
05-10 730
某购物商城系统commodtiy接口处存在任意文件上传漏洞,恶意攻击者可以上传恶意软件，例如后门、木马或勒索软件，以获取对服务器的远程访问权限或者破坏系统，对服务器造成极大的安全隐患。
【漏洞复现】宏景人力资源信息管理系统 showmediainfo SQL注入漏洞
https://blog.echo234.cn/
04-04 973
宏景科技是一家在智慧城市综合服务领域具有显著影响力的企业。公司以数字赋能百业兴旺，以智慧定义城市未来，致力于让城市管理更简单，让市民工作、生活更便捷。作为行业的佼佼者，宏景科技不断跟进物联网、大数据、云计算、GIS、人工智能等新技术的最新发展及应用，积极掌握并实现核心技术的更新迭代，积累了一定的技术储备。
宏景多个接口存在SQL注入漏洞-1day未公开漏洞
weixin_43167326的博客
02-01 395
宏景人力资源信息管理系统是一款全面覆盖人力资源管理各模块的软件，旨在帮助企事业单位构建高绩效组织，推动组织健康成长，提升组织软实力。系统功能包括人员、组织机构、档案、合同、薪资、保险、绩效、考勤、招聘、培训、干部任免和人事流程等业务的管理，以及人事、绩效、培训、招聘、考勤等业务自助，还具备报表功能和灵活的表格工具，支持集团管控、目标管理、领导决策等应用。
【漏洞复现】宏景ehr-hcm-khfieldtree-sql注入
知黑而守白
01-09 389
宏景HCM系统是一款由宏景软件研发的系统，主要功能包括人员、组织机构、档案、合同、薪资、保险、绩效、考勤、招聘、培训、干部任免和人事流程等业务的管理，以及人事、绩效、培训、招聘、考勤等业务自助，还具备了报表功能和灵活的表格工具，支持集团管控、目标管理、领导决策等应用。该漏洞存在于宏景EHR人力资源管理系统的 khfieldtree 接口处，该功能存在SQL注入漏洞。攻击者可以通过构造恶意的SQL语句，成功注入并执行恶意数据库操作，可能导致敏感信息泄露、数据库被篡改或其他严重后果。
【漏洞复现】宏景ehr-hcm-loadhistroyorgtree-sql注入
知黑而守白
01-09 351
宏景HCM系统是一款由宏景软件研发的系统，主要功能包括人员、组织机构、档案、合同、薪资、保险、绩效、考勤、招聘、培训、干部任免和人事流程等业务的管理，以及人事、绩效、培训、招聘、考勤等业务自助，还具备了报表功能和灵活的表格工具，支持集团管控、目标管理、领导决策等应用。该漏洞存在于宏景EHR人力资源管理系统的 loadhistroyorgtree 接口处，该功能存在SQL注入漏洞。攻击者可以通过构造恶意的SQL语句，成功注入并执行恶意数据库操作，可能导致敏感信息泄露、数据库被篡改或其他严重后果。
【漏洞复现】宏景ehr-hcm-view-sql注入
知黑而守白
01-09 457
宏景eHR人力资源管理软件面向复杂单组织或多组织客户，支持流程，B/S架构。特别适合集团化管理和跨地域使用的产品，融合了最新的互联网技术和先进的人力资源管理理念和实践，更好地支持异地办公和网上流程，加强了人力资源业务的集中管理和协同，支持集团管控、目标管理、领导决策等应用。该漏洞具体涉及到View功能，该功能存在SQL注入漏洞。攻击者可以通过构造恶意的SQL语句，成功注入并执行恶意数据库操作，可能导致敏感信息泄露、数据库被篡改或其他严重后果。
【漏洞复现】宏景HCM downlawbase SQL注入漏洞
qq_67810151的博客
03-12 313
宏景HCM downlawbase 接口处存在SQL注入漏洞，未经过身份认证的远程攻击者可利用此漏洞执行任意SQL指令，从而窃取数据库敏感信息。
【1day】复现宏景HCM codesettree SQL注入漏洞（CNVD-2023-08743）
记录并分享学习安全的知识点..
07-26 1172
北京宏景世纪软件股份有限公司 HCM codesettree 接口存在SQL注入漏洞，攻击者通过漏洞可以获取到登陆系统的账号密码和数据库信息。
【漏洞复现】宏景ehr-hcm-fileDownLoad-sql注入
知黑而守白
01-11 184
宏景HCM系统是一款由宏景软件研发的系统，主要功能包括人员、组织机构、档案、合同、薪资、保险、绩效、考勤、招聘、培训、干部任免和人事流程等业务的管理，以及人事、绩效、培训、招聘、考勤等业务自助，还具备了报表功能和灵活的表格工具，支持集团管控、目标管理、领导决策等应用。宏景HCM系统fileDownLoad接口存在SQL注入漏洞。攻击者可以通过构造恶意的SQL语句，成功注入并执行恶意数据库操作，可能导致敏感信息泄露、数据库被篡改或其他严重后果。环境，执行如下命令启动。
宏景HCM SQL注入漏洞(CNVD-2023-08743) ，hrms加解密工具
11-07
宏景HCM SQL注入漏洞(CNVD-2023-08743) ，hrms加解密工具。需要 Java1.8 环境，执行如下命令启动 HrmsTool 工具， -e 是加密， -d 是解密。 $ java -jar HrmsTool.jar Usage: java -jar HrmsTool.jar -e xxx java ...
2023-0Day（漏洞检测Tools）V1.6 HW-漏洞挖掘-src
08-23
17、畅捷通Plus_ajaxpro命令执行 18、用友NC/Cloud bsh_servlet_BshServlet命令执行 ...34、宏景HCM_SQL注入 35、华天动力OA未授权访问及SQL注入 36、致远OA_Ajaxdo_upload 37、亿赛通电子文档安全管理系统命令执行
辅助驾驶开发-系统方案-宏景智驾系统技术方案介绍
10-28
辅助驾驶开发-系统方案-宏景智驾系统技术方案介绍
宏景软件考勤管理解决方案.docx
11-16
宏景软件考勤管理解决方案 宏景软件考勤管理解决方案是人事工作中的一项根底性管理任务，为工资核算、劳动纪律管理、绩效考核等各项人事工作提供根底性信息。该解决方案提供了多种考勤方式和假期管理的考勤管理模块...
宏景软件考勤管理解决方案样本.doc
12-06
宏景软件考勤管理解决方案样本.doc 宏景软件考勤管理解决方案样本是一种人力资源管理系统的模块，旨在解决企业中的人事工作中的考勤管理问题。该解决方案能够满足不同单位的需求，提供了C/S和B/S两个版本的考勤模块...
网络安全在个人生活中具体有哪些常见的应用场景？
2301_79955948的博客
06-10 471
通过上述场景可以看出，网络安全在个人生活中扮演着至关重要的角色，它不仅关系到个人隐私和财产安全，也影响到日常生活的方方面面。7. 物联网设备安全：网络安全可以保护智能家居、智能设备等物联网设备的安全，避免网络攻击和数据泄露。5. 远程办公和学习：网络安全可以保障企业和学校网络系统的安全和稳定性，避免数据泄露和网络攻击。6. 云存储和备份：网络安全可以保护云存储服务和备份数据的安全，防止黑客攻击和数据泄露。8. 移动设备安全：网络安全可以保护移动设备的安全和数据隐私，防止恶意软件和网络攻击。
美创科技入选“2024网络安全提供商创新排行榜”
美创科技的博客
06-12 357
数据安全的发展离不开源源不断的创新推动。美创科技始终紧跟数据安全发展趋势，坚持以“新产品新技术研发、新理念新框架构建、新服务新咨询探索、新场景新方案打造”四个方向创新发展，更好地帮助各行业用户解决应对数字化时代下的数据安全挑战与难题。近日，DBC德本咨询公布了“2024网络安全提供商创新排行榜”，美创科技凭借近20年的。此次，与360、华为、腾讯等互联网、网络安全头部厂商并肩上榜，是行业对美创的再次认可。创新耕耘，荣誉上榜。
经纬恒润助力微宏动力荣获ISO/SAE 21434网络安全流程认证证书
最新发布
经纬恒润的官方博客
06-14 485
近日，经纬恒润与微宏动力合作的网络安全开发及认证项目顺利完成了阶段性里程碑。
宏景 get_org_tree-sqli
11-30
宏景 get_org_tree-sqli是一种SQL注入攻击。在宏景软件的get_org_tree函数中，存在着未经过滤或者验证的用户输入，导致攻击者可以通过构造恶意的SQL查询语句来对数据库进行未授权的访问和操作。 当应用程序没有正确地对用户输入进行过滤、转义或验证时，攻击者可以利用这个漏洞构造恶意的输入来执行SQL查询语句。攻击者可以注入SQL代码，修改数据库查询语句的逻辑，获取、删除或修改数据库中的数据，甚至完全控制数据库服务器。 为了防止宏景 get_org_tree-sqli攻击，开发人员应该始终遵循安全的编码实践。 1. 输入验证和过滤：应该对所有的用户输入进行验证和过滤，确保输入数据符合预期的格式和类型。可以使用合适的输入验证函数或正则表达式来实现。 2. 使用参数化查询或预处理语句：建议使用参数化查询或预处理语句来执行数据库查询操作，而不是直接拼接用户输入构成的查询语句。参数化查询可以防止SQL注入攻击。 3. 最小权限原则：数据库账户应该按照最小权限原则进行授权，避免给予不必要的权限。这样即使发生了SQL注入攻击，攻击者也只能执行有限的操作。 4. 错误信息处理：避免将详细的错误信息直接输出到用户界面上，这样可能会暴露敏感的数据库结构和错误详情，为攻击者提供攻击的线索。可以将错误信息记录在日志文件中，以便日后的安全审计和调查。 通过以上措施，开发人员可以提高应用程序的安全性，防止宏景 get_org_tree-sqli等SQL注入攻击对系统造成威胁。同时，定期对应用程序进行安全测试和漏洞扫描，及时修复和更新系统中发现的安全漏洞，保障系统安全运行。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

.Rain.

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值