【漏洞复现】润申企业标准化管理系统-SQL注入-DefaultHandler

最新推荐文章于 2024-06-15 17:56:42 发布
最新推荐文章于 2024-06-15 17:56:42 发布
阅读量30 收藏
点赞数
分类专栏： 漏洞复现 文章标签： web安全 漏洞复现 智能路由器
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_44905116/article/details/138464381
版权

目录

免责声明

0x01 产品简介

0x02 漏洞概述

0x03 网络测绘

0x04 漏洞复现

0x05 Nuclei

免责声明

此内容仅供技术交流与学习，请勿用于未经授权的场景。请遵循相关法律与道德规范。任何因使用本文所述技术而引发的法律责任，与本文作者及发布平台无关。如有内容争议或侵权，请及时私信我们！

0x01 产品简介

润申信息科技企业标准化管理系统通过给客户提供各种灵活的标准法规信息化管理解决方案，帮助他们实现了高效的标准法规管理，完成个性化标准法规库的信息化建设。

0x02 漏洞概述

润申企业标准化管理系统 DefaultHandler 接口存在SQL注入漏洞。攻击者可以通过构造恶意的SQL语句，成功注入并执行恶意数据库操作，可能导致敏感信息泄露、数据库被篡改或其他严重后果。

0x03 网络测绘

"PDCA/js/_publicCom.js"

0x04 漏洞复现

了解本专栏 订阅专栏 解锁全文 超级会员免费看
.Rain.
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
订阅专栏
润申信息企业标准化管理系统 多处SQL注入漏洞复现
0xSec
11-30 810
润申信息科技企业标准化管理系统 CommentStandardHandler.ashx、DefaultHandler.ashx接口处存在SQL注入漏洞。攻击者可利用漏洞获取数据库中的信息（例如，管理员后台密码、站点的用户个人信息）之外，甚至在高权限的情况可向服务器中写入木马，进一步获取服务器系统权限。
最新0day！！用友U8-Cloud UploadFile接口存在任意文件读取漏洞
weixin_43167326的博客
04-02 535
U8 cloud 聚焦成长型、创新型企业的云 ERP，基于全新的企业互联网应用设计理念，为企业提供集人财物客、产供销于一体的云 ERP 整体解决方案，全面支持多组织业务协同、智能财务，人力服务、构建产业链智造平台，融合用友云服务实现企业互联网资源连接、共享、协同。该系统存在任何文件读取漏洞。
润申信息企业标准化管理系统UpdataLogHandler接口处存在SQL注入漏洞
weixin_43167326的博客
04-24 941
润申信息企业标准化管理系统是一套综合性管理软件，旨在帮助企业规范管理、提升效率、降低成本，具备综合性、模块化、标准化和智能化特点，包括财务、人力资源、生产、供应链、质量和营销管理等功能模块，助力企业实现科学化、规范化和智能化管理，提升竞争力和持续发展能力。润申信息企业标准化管理系统UpdataLogHandler.ashx接口处存在SQL注入漏洞，恶意攻击者可能会利用此漏洞修改数据库中的数据，例如添加、删除或修改记录，导致数据损坏或丢失。
【漏洞复现】润申信息管理系统SQL注入漏洞
失心少年
01-06 413
技术文章仅供参考，任何个人和组织使用网络应当遵守宪法法律，遵守公共秩序，尊重社会公德，不得利用网络从事危害国家安全、荣誉和利益，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。本文所提供的工具仅用于学习，禁止用于其他！申信息科技企业标准化管理系统 DefaultHandler.ashx SQL注入漏洞。
XStream 反序列化远程命令执行漏洞复现(CVE-2021-21351)
weixin_43223153的博客
03-30 5641
XStream 反序列化远程命令执行漏洞复现 1. 漏洞影响版本 XStream <= 1.4.15 2. 环境搭建 安装漏洞靶场vulhub git clone git://github.com/vulhub/vulhub.git 3. 漏洞复现 1 进入到漏洞环境文件夹，启动漏洞环境。 cd /vulhub/xstream/CVE-2021-21351 docker-compose up -d 2 启动好之后，访问靶机的ip加8080端口 3 下载JNDI注入利用工具： 下载地址：https
CVE-2021-21351 XStream反序列化远程代码执行漏洞
m0_56642842的博客
08-13 2480
0x00 简介 XStream是Java类库，用来将对象序列化成XML （JSON）或反序列化为对象。XStream是自由软件，可以在BSD许可证的许可下分发。它是一种OXMapping 技术，是用来处理XML文件序列化的框架在将javaBean序列化，或将XML文件反序列化的时候，不需要其它辅助类和映射文件，使得XML序列化不再繁琐。 0x01 漏洞概述 在 1.4.16 版本之前的 XStream 中，存在一个漏洞，允许远程攻击者仅通过操纵处理后的输入流，解组时处理的流包含类型信息以重新创建以前编写的对
Java反序列化漏洞自动挖掘方法
weixin_41489908的博客
12-31 1424
你说什么最难受，是相爱的人见不了面，还是最爱的人在别人身边。。。 ---- 网易云热评 文章来源：蚂蚁非攻安全实验室 、先知白帽大会 一、序列化与反序列化 1、定义：序列化是用于将对象转换成二进制串存储,对应着 writeObject，反序列正好相反,将二进制串转换成对象,对应着 Freadobject 2、各编程语言都存在： Java：java.io.Serializable接口、fastjson、jackson、gson PHP：serialize()、 un...
XStream 反序列化命令执行漏洞（CVE-2021-21351）
EC_Carrot的博客
08-21 1078
漏洞简介 XStream是一个轻量级、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。 XStream 在解析XML文本时使用黑名单机制来防御反序列化漏洞，但是其 1.4.15 及之前版本黑名单存在缺陷，攻击者可利用javax.naming.ldap.Rdn$RdnEntry及javax.sql.rowset.BaseRowSet构造JNDI注入，进而执行任意命令。 漏洞复现 由于目标环境Java版本高于8u191，所以我们需要使用org.apache.naming.
unity3d：GameFramework+xLua+Protobuf+lua-protobuf，与服务器交互收发协议
Have a nice day.
06-09 1207
1.cs收发协议，通过protobuf序列化2.lua收发协议，通过lua-protobuf序列化。
Objective-C中的消息发送总结
哈雷的博客
01-17 1932
关于OC中的消息发送的实现，在去年也看过一次，当时有点不太理解，但是今年再看却很容易理解。 我想这跟知识体系的构建有关，如果你不认识有砖、水泥等这些建筑的基本组成部分，那么我们应该很难理解建筑是怎么建造出来的吧？ 学习新知识，应该也是同样的道理！资料今年再看 消息发送机制时，也翻了很多文章，本来想自己总结一遍的，但是感觉这篇 Objective-C 消息发送与转发机制原理 实在写的太好了，就直接
ios-keyboard-notification-handler:UIKeyboard 通知的简单包装
07-04
通常，您会希望使用通过[KNMKeyboardNotificationHandler defaultHandler]获得的默认处理程序。启用键盘处理在处理通知之前，您必须让处理程序开始侦听它们： [[KNMKeyboardNotificationHandler defaultHandler] ...
Delphi捕获与截获消息.rar
07-10
　procedure DefaultHandler(var msg);override; 　public 　{ Public declarations } 　end; 　var 　Form1: TForm1; 　implementation 　{$R *.dfm} 　{消息发送方法的数组，SendPostString[0]是 Send消息, 　...
Delphi Post Send发送和屏蔽消息.rar
07-10
　procedure DefaultHandler(var msg);override; 　消息发送方法的数组，SendPostString[0]是 Send消息, SendPostString[1]是Post消息，在程序中是以判断消息结构的 wParam字段来得到索引值的。SendMessage 时将...
java-sax-rss-reader:使用 Java SAX 的基本 Java RSS 阅读器
06-18
只是 SAX 的 DefaultHandler 的基本实现，用于解析 RSS 2 提要。 不依赖于任何外部库，它只使用 SAX（自 Java 5 起包含在 JavaSE 中，也在 Android 上）。 使用示例 ArrayListRSSFeedStore feedStore = new ...
gzip：用于Gin和nethttp的Golang gzip中间件| Golang gzip中间件，支持Gin和nethttp，开箱即用同时可定制
02-03
使用DefaultHandler()创建一个现成的gzip中间件。 杜松子酒 import github . com / nanmu42 / gzip func main () { g := gin . Default () // use default settings g . Use ( gzip . DefaultHandler (). Gin ) ...
2024中国网络安全产品用户调查报告（发布版）
2301_76786857的博客
06-12 691
本报告正是安在新媒体发起，基于“诸子云社群，以“取之于民，用之于民"的方式，反馈“甲方"眼中的中国网络安全市场情况，为网络安全行业提供来自网络安全企业用户视角的参考。自2020年始，人类进入了21世纪的第二个十年，全球进入了百年未有之大变局，新十年的开始即被新冠疫情逆转了全球化发展的历程，而至2022年3月俄乌战争又突然爆发，紧接着2023年7月“巴以冲突"皱起，世界快速进入动荡中，不确定性激增，网络对抗愈演愈烈，导致中国网络安全市场和环境受到重大影响。
网络安全攻防基础入门笔记--操作系统&名词解释&文件下载&反弹shell&防火墙绕过
最新发布
谜语人的博客
06-15 820
全程Proof of Concept,中文"概念验证",常指一段漏洞证明的代码。
网络安全管理组织架构复习
LongL_GuYu的博客
06-12 399
网络安全管理组织架构复习
ccs调试defaultHandler
08-19
你好！对于 CCS (Code Composer Studio) 调试中的 defaultHandler，我可以给你一些基本的信息。 defaultHandler 是一个中断处理函数，用于处理未定义的中断向量。当程序运行时，如果遇到未定义的中断向量，CCS 将跳转到 defaultHandler 进行处理。 在 CCS 中调试 defaultHandler，你可以按照以下步骤进行： 1. 打开 CCS，并加载你的项目。 2. 在代码中找到 defaultHandler 函数的定义。它通常位于一个名为 "interrupt_vectors.c" 或类似文件中。 3. 在 defaultHandler 函数中设置断点。你可以在函数入口处设置一个断点，以便在程序执行到该函数时暂停。 4. 启动你的调试会话。你可以选择使用仿真器（如 XDS Emulator）或硬件调试器（如 JTAG）进行调试。 5. 运行程序并触发未定义中断。你可以通过模拟特定的事件或操作来触发未定义中断，以便进入 defaultHandler 函数。 6. 当程序执行到 defaultHandler 函数时，CCS 将会在设置的断点处暂停执行。你可以使用调试器提供的工具（如变量查看器、寄存器监视器等）来检查程序状态和变量值。 7. 在调试会话中，你可以逐步执行代码、查看变量值，并根据需要进行调试操作。 这些是基本的步骤，你可以根据你的具体需求和环境进行调试。希望对你有所帮助！如果还有其他问题，请随时提问。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

.Rain.

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值