【漏洞复现】F-logic-DataCube3-SQL注入-getting_index_data(CVE-2024-31750)

最新推荐文章于 2024-06-15 20:21:51 发布
最新推荐文章于 2024-06-15 20:21:51 发布
阅读量40 收藏
点赞数
分类专栏： 漏洞复现 文章标签： sql 数据库 漏洞复现 智能路由器
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_44905116/article/details/138464295
版权

目录

免责声明

0x01 产品简介

0x02 漏洞概述

0x03 网络测绘

0x04 漏洞复现

0x05 Nuclei

0x06 修复建议

免责声明

此内容仅供技术交流与学习，请勿用于未经授权的场景。请遵循相关法律与道德规范。任何因使用本文所述技术而引发的法律责任，与本文作者及发布平台无关。如有内容争议或侵权，请及时私信我们！

0x01 产品简介

F-logic-DataCube3是一款用于光伏发电系统的紧凑型终端测量系统。

0x02 漏洞概述

F-logic-DataCube3 getting_index_data 接口处存在SQL注入漏洞，恶意攻击者可能会利用此漏洞修改数据库中的数据，例如添加、删除或修改记录，导致数据损坏或丢失。

0x03 网络测绘

title=="DataCube3"

0x04 漏洞复现

了解本专栏 订阅专栏 解锁全文 超级会员免费看
.Rain.
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
订阅专栏
F-logic DataCube3 SQL注入漏洞复现(CVE-2024-31750)
0xSec
04-20 585
F-logic DataCube3/admin/pr_monitor/getting_index_data.php 接口处存在SQL注入漏洞，未经身份验证的攻击者可通过该漏洞获取数据库敏感信息，深入利用可控制整个web服务器。
X-CUBE-MCSDK-FUL_5.4.4完整版.zip
08-07
V5.4.4完整版/2020年5月 STM32电机控制软件开发套件（MCSDK）- 完整源代码 主要变化： Version 5.4.4 is mostly a bug fix release of X-Cube-MCSDK v5.4.3. It also introduces some new feature. ◾Added Support for PFC on STM32F3. This support is added as an example for the STEVAL-CTM010V1 Dual motor demo board. ◾Atollic TrueSTUDIO & SW4STM32 Deprecation. Atollic TrueSTUDIO and SW4STM32 IDEs are no longer actively developed and ST's strategy is to replace them with STM32CubeIDE. Recent STM32 series like STM32G4 devices for instance, are already not supported by all these IDEs. In a near future release of the Motor Control SDK, support for these IDE will be dropped and it will not be possible anymore to generate a project for them from the Workbench. ◾Introduced a workaround for the issue with injected ADC conversions that exists on STM32G4xx Cut 2.2 devices. See the dedicated section below for more details. ◾Reintroduced the correct ST Motor Profiler version (the same as release 5.4.1 of the SDK). The Motor Profiler delivered with MCSDK 5.4.2 and 5.4.3 was incomplete. ◾Fixed an issue with the faulty setting of the maximum application current for the second drive in dual drive configurations ◾Fixed an issue with Position Control configurations using an absolute position encoder (with Z signal). ◾Fixed another issue with Position Control where a division by 0 was possible. ◾Fixed a bootstrap capacitor charge issue in ICS configurations ◾Fixed a SW Error that could occur during the offset measurement loop ◾Fixed a code generation issue resulting in a compilation error when enabling open loop. ◾Fixed a STM32H7 example compilation issue - missing files have been added. ◾Fixed a generation issue for some STM32G0 and STM32F0 devices where TIM2 does not exist but was referenced in the code anyway. This resulted in a compilation failure. ◾Fixed an issue with STM32F1 HD devices in single shunt configurations ◾In the workbench, the maximum PWM frequency can now be set as high as 500 KHz. ◾Fixed an issue due to the limited RShunt resolution. Now, values such as 0.00025 Ω are accepted. ◾Fixed an issue with NVIC configuration for IHM34V2 inverter boards. ◾Fixed a Workbench issue that resulted in a wrong pin assignment when creating new projects based on the NUCLEO-G431RB control board. See section Pin assignment with NUCLEO-G431RB for more details. ◾Fixed an issue that resulted in incorrect overcurrent settings with some power boards. See section Over current settings correction for some power boards ◾Enable users to select DAC channel 2 with STM32L452
F-logic DataCube3 任意文件上传漏洞复现(CVE-2024-25832)
0xSec
03-15 1069
F-logic DataCube3/admin/setting_photo.php接口处存在任意文件上传漏洞 ，未经身份验证的攻击者可通过该漏洞在服务器端写入后门，获取服务器权限，进而控制整个web服务器。
WIFISKY 7层流控路由器 confirm.php RCE漏洞复现
0xSec
04-20 579
WIFISKY-7层流控路由器 confirm.php接口处存在命令执行漏洞，未经身份验证的远程攻击者可能利用此漏洞执行恶意命令，获取服务器敏感信息，最终可能导致服务器失陷。
【漏洞复现】金和OA-C6-命令执行-GetSqlData
知黑而守白
04-08 207
金和OA协同办公管理系统软件（简称金和OA），本着简单、适用、高效的原则，贴合企事业单位的实际需求，实行通用化、标准化、智能化、人性化的产品设计，充分体现企事业单位规范管理、提高办公效率的核心思想，为用户提供一整套标准的办公自动化解决方案，以帮助企事业单位迅速建立便捷规范的办公环境。金和OA协同办公管理系统 GetSqlData 接口存在一个命令执行漏洞，使得攻击者可以通过构造特定的请求远程执行恶意代码。此漏洞可能导致攻击者获取系统权限、执行任意命令，严重威胁系统的机密性和完整性。
VS-Cube: Analyzing Variations of Multi-dimensional Patterns over Data Streams
02-08
In many applications, patterns over time-varied data streams usually imply high domain value. The variations of patterns can often be measured from their internal structures. Traditional methods ...
x-cube-spn4.zip_software stm32_spn4_stm32 x-cube_x-cube
09-23
X-CUBE-SPN4 Software for STM32, Expansion for STM32Cube
微软数据库考试70-768: Exam Ref 70-768 Developing SQL Data Models
11-21
微软MCSA认证考试70-768 Developing SQL Data Models Course OutlineModule 1: Introduction to Business Intelligence and Data ModelingThis module introduces key BI concepts and the Microsoft BI product ...
AndroidOpenGL.rar_android_android 立方体_cube_openGL-es android_立方体
09-21
android下opengl 立方体旋转的例子
【AI+编程】工作日常场景随时可以AI编程，记一个问答SQL快速导出数据日常示例
最新发布
月晓风清
06-15 283
为了实现你需要的操作，即以问题名称作为表头，答案作为内容导出，你可以通过JOIN操作连接三个表，然后利用动态SQL语句进行行转列转换（PIVOT）。然后通过执行这个动态生成的SQL，你可以得到一个表格，表中的每一行表示一个成员，对应每个问题的答案作为列数据。然后，在动态生成的SQL语句中利用JOIN把db_member、db_question和db_answer连接起来，并根据question_id和member_id进行匹配，以输出每个成员对应的问题答案。下面是假定表结构，实际场景和它类似。
SQL中distinct去重关键字的使用和count统计组合的使用
睡不醒的每天
06-13 428
distinct必须在列的前面，否则直接提示错误，当distinct作用于单列的的情况下，统计查询的结果为行数目的总数，包含null为空的数目。count(distinct 列名)：根据指定的列统计记录总数，不包含重复的记录，不包括NULL或空的值。select distinct 列名1，列名2，列名3…select distinct 列名 from 表；也可以使用count(2)、count(3)等等。count(distinct 列名)
NL2SQL技术方案系列(1)：NL2API、NL2SQL技术路径选择；LLM选型与Prompt工程技巧，揭秘项目落地优化之道
2401_85325726的博客
06-15 522
NL2SQL任务的目标是将用户对某个数据库的自然语言问题转化为相应的SQL查询。随着LLM的发展，使用LLM进行NL2SQL已成为一种新的范式。在这一过程中，如何利用提示工程来发掘LLM的NL2SQL能力显得尤为重要。数据结构****复杂：企业信息系统的数据结构复杂性远远超过几个简单的 Excel 文件，一个大型企业应用可能存在几百上千个数据实体，所以在实际应用中，大型 BI 系统会在前端经过汇聚、简化与抽象成新的语义层，方便理解。数据量较大。
PostgreSQL的视图pg_roles
lee_vincent1的博客
06-10 667
pg_roles是 PostgreSQL 中的一个系统视图，提供了关于数据库角色（用户和组）的信息。PostgreSQL 中的角色用于管理数据库的权限、登录能力以及其他安全相关的特性。通过查询pg_roles视图，数据库管理员可以了解和管理数据库中所有角色的详细信息。pg_roles。
PostgreSQL的视图pg_tables
lee_vincent1的博客
06-10 548
是 PostgreSQL 中的一个系统视图，用于显示当前数据库中所有用户定义的表的信息。这个视图提供了关于表的名称、所属模式（schema）、所有者以及表类型等详细信息。以下是一些常用的查询示例，可以帮助你获取和分析表的信息。 查看特定模式下的所有表 查看表的基本信息 查看特定表的信息 查看是否有索引的表 查看启用了行级安全策略的表 示例脚本 查看所有用户表的信息 查看有触发器的表 可以结合 和 视图查看哪些表有触发器。例如： 使用案例 获取所有表的完整信息 分析索引和触发器情况 通过
SQL Server中的CTE和临时表优化
nbsaas-boot基于Request-Response的企业级快速开发框架
06-09 592
CTE和临时表在SQL Server中的应用各有优劣。CTE简化代码，提高可读性，适合较简单的查询和层次结构数据处理。而临时表则提供更高的灵活性和性能优化手段，适用于复杂的多步骤查询和大数据量处理。在实际应用中，我们需要根据具体需求选择最合适的技术手段，以达到最佳的性能和可维护性。
【译】SQLAlchemy文档：SQLAlchemy 统一教程
一只大鸽子的博客
06-12 1138
**SQLAlchemy** 是 Python **SQL工具包**和**ORM**，它为应用程序开发人员提供了 SQL 的全部功能和灵活性。它提供了一整套企业级持久性模式，专为高效和高性能的数据库访问而设计。
GaussDB系统视图归纳总结及常用运维SQL
rachel_2016的博客
06-12 304
oracle系统视图对应GaussDB系统视图含义DBA_*ADM_*DBA拥有或可访问的所有对象ALL_*DB_*某用户拥有或可访问的所有对象USER_*MY_*某用户拥有的所有对象以及GaussDB 自己定义的gs_*系统表和视图因为以上原因，常用运维SQL涉及GaussDB自己的系统视图和pg的系统表和对标oracle的系统视图(缝合怪？序号系统视图1my_tables23my_indexes4567pg_class8pg_proc9。
PostgreSQL的视图pg_rules
lee_vincent1的博客
06-11 480
是 PostgreSQL 中的一个系统视图，用于显示数据库中存在的规则（rules）的相关信息。规则是一种允许在表的查询、插入、更新或删除操作上定义自定义行为的机制。通过查询 视图，数据库管理员和开发人员可以查看当前数据库中定义的所有规则信息。以下是一些常用的查询示例，可以帮助你获取和分析规则的信息。 查看特定模式下的所有规则 查看特定表的所有规则 查看特定规则的信息 显示所有规则及其所属的表和定义 获取所有规则的完整信息 查看特定表的所有规则定义 根据规则名称查找规则 通过 视图，数据库
springboot+redis水果超市商城系统（源码+sql+论文报告）
u014445459的博客
06-12 969
农业网站发展表明，互联网和农业的结合正在逐渐深入，这是农业现代化发展需要，同时也是农村电子商务自身发展必然趋势， 为农产品销售电子商务的发展提供了保障在广大购物者渐渐对产品性价比要求越来越高的今天，我们发现必须要有一套完善的采购经销体系、才能不断提高产品质量同时降低产品的价格，所以减少产品销售中间环节成本增加势在必行。网上进行水果批发既可以省下许多时间体力，也可以节省来回的花销成本，更可以足不出户就可以了解到水果批发市场的行情，消费者可以吃到想吃的新鲜的水果。轻轻松松实现买卖交易。Spring框架具有。
x-cube-mcsdk-ful_5.4.6.exe
10-05
x-cube-mcsdk-ful_5.4.6.exe是一个软件安装文件。它是一个基于STM32微控制器的软件开发工具包。该软件开发工具包提供了一系列的API和示例代码，用于帮助开发者在STM32上进行物联网应用的开发。 x-cube-mcsdk-ful_5.4.6.exe的安装文件通过执行该文件，将工具包的相关文件和组件安装到计算机上。安装完成后，开发者可以在开发环境中使用这些组件和文件进行开发工作。 该软件开发工具包提供了高效的代码和库，用于简化物联网应用的开发过程。开发者可以利用工具包提供的API和示例代码，快速构建与云端连接的物联网应用程序。这些应用程序可以实现传感器数据的采集、数据的存储和分析、设备的控制等功能。 此外，x-cube-mcsdk-ful_5.4.6.exe还提供了不同通信协议的支持，如MQTT、CoAP等，以满足不同物联网应用的需求。 总之，x-cube-mcsdk-ful_5.4.6.exe是一个软件开发工具包的安装文件，用于帮助开发者在STM32微控制器上进行物联网应用的开发，提供了一系列的API、示例代码和通信协议的支持。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

.Rain.

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值