【漏洞复现】宏景-HCM KhFieldTree Sql注入漏洞

于 2024-10-10 00:13:23 发布
阅读量155 收藏
点赞数 4
分类专栏： 漏洞复现 文章标签： sql 数据库 安全 web渗透 渗透测试 网络安全 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_41924764/article/details/142425550
版权

免责声明：

        本文旨在提供有关特定漏洞的信息，以帮助用户了解潜在风险。发布此信息旨在促进网络安全意识和技术进步，并非出于恶意。读者应理解，利用本文提到的漏洞或进行相关测试可能违反法律或服务协议。未经授权访问系统、网络或应用程序可能导致法律责任或严重后果。作者对读者基于本文内容的行为不承担责任。读者在使用信息时必须遵守适用法律法规和服务协议，独自承担所有风险和责任。如有侵权，请联系删除。

产品简介

        宏景HCM系统是一款由宏景软件研发的系统，主要功能包括人员、组织机构、档案、合同、薪资、保险、绩效、考勤、招聘、培训、干部任免和人事流程等业务的管理，以及人事、绩效、培训、招聘、考勤等业务自助，还具备了报表功能和灵活的表格工具，支持集团管控、目标管理、领导决策等应用。

漏洞描述

        宏景-HCM KhFieldTree 接口存在一个 SQL 注入漏洞，通过这个漏洞可以操纵服务器的数据库。这意味着不法分子可以利用这个漏洞来获取对数据库的完全控制权，从而查看、修改甚至删除数据库中的数据，严重威胁系统的安全性。

网络空间测绘

了解本专栏 订阅专栏 解锁全文 超级会员免费看
凝聚力安全团队
关注
专栏目录
订阅专栏
【漏洞复现】宏景ehr-hcm-khfieldtree-sql注入
知黑而守白
01-09 512
宏景HCM系统是一款由宏景软件研发的系统，主要功能包括人员、组织机构、档案、合同、薪资、保险、绩效、考勤、招聘、培训、干部任免和人事流程等业务的管理，以及人事、绩效、培训、招聘、考勤等业务自助，还具备了报表功能和灵活的表格工具，支持集团管控、目标管理、领导决策等应用。该漏洞存在于宏景EHR人力资源管理系统的 khfieldtree 接口处，该功能存在SQL注入漏洞。攻击者可以通过构造恶意的SQL语句，成功注入并执行恶意数据库操作，可能导致敏感信息泄露、数据库被篡改或其他严重后果。
【漏洞复现】宏景ehr-hcm-view-sql注入
知黑而守白
01-09 542
宏景eHR人力资源管理软件面向复杂单组织或多组织客户，支持流程，B/S架构。特别适合集团化管理和跨地域使用的产品，融合了最新的互联网技术和先进的人力资源管理理念和实践，更好地支持异地办公和网上流程，加强了人力资源业务的集中管理和协同，支持集团管控、目标管理、领导决策等应用。该漏洞具体涉及到View功能，该功能存在SQL注入漏洞。攻击者可以通过构造恶意的SQL语句，成功注入并执行恶意数据库操作，可能导致敏感信息泄露、数据库被篡改或其他严重后果。
【漏洞复现】宏景HCM-LoadOtherTreeServlet SQL注入
weixin_54799594的博客
07-11 1215
漏洞复现过程记录
【漏洞复现】宏景HCM-SQL注入-downlawbase
知黑而守白
04-10 438
宏景HCM系统是一款由宏景软件研发的系统，主要功能包括人员、组织机构、档案、合同、薪资、保险、绩效、考勤、招聘、培训、干部任免和人事流程等业务的管理，以及人事、绩效、培训、招聘、考勤等业务自助，还具备了报表功能和灵活的表格工具，支持集团管控、目标管理、领导决策等应用。该漏洞存在于宏景EHR人力资源管理系统的 showmediainfo 接口处，该功能存在SQL注入漏洞。攻击者可以通过构造恶意的SQL语句，成功注入并执行恶意数据库操作，可能导致敏感信息泄露、数据库被篡改或其他严重后果。
【漏洞复现】宏景ehr-hcm-loadhistroyorgtree-sql注入
知黑而守白
01-09 446
宏景HCM系统是一款由宏景软件研发的系统，主要功能包括人员、组织机构、档案、合同、薪资、保险、绩效、考勤、招聘、培训、干部任免和人事流程等业务的管理，以及人事、绩效、培训、招聘、考勤等业务自助，还具备了报表功能和灵活的表格工具，支持集团管控、目标管理、领导决策等应用。该漏洞存在于宏景EHR人力资源管理系统的 loadhistroyorgtree 接口处，该功能存在SQL注入漏洞。攻击者可以通过构造恶意的SQL语句，成功注入并执行恶意数据库操作，可能导致敏感信息泄露、数据库被篡改或其他严重后果。
宏景-ehr-hcm-frcodeaddtreeservlet-sql注入-未公开Day漏洞复现
weixin_43167326的博客
01-26 499
宏景人力资源信息管理系统是一款全面覆盖人力资源管理各模块的软件，旨在帮助企事业单位构建高绩效组织，推动组织健康成长，提升组织软实力。系统功能包括人员、组织机构、档案、合同、薪资、保险、绩效、考勤、招聘、培训、干部任免和人事流程等业务的管理，以及人事、绩效、培训、招聘、考勤等业务自助，还具备报表功能和灵活的表格工具，支持集团管控、目标管理、领导决策等应用。
【漏洞复现】宏景ehr-hcm-fileDownLoad-sql注入
知黑而守白
01-11 239
宏景HCM系统是一款由宏景软件研发的系统，主要功能包括人员、组织机构、档案、合同、薪资、保险、绩效、考勤、招聘、培训、干部任免和人事流程等业务的管理，以及人事、绩效、培训、招聘、考勤等业务自助，还具备了报表功能和灵活的表格工具，支持集团管控、目标管理、领导决策等应用。宏景HCM系统fileDownLoad接口存在SQL注入漏洞。攻击者可以通过构造恶意的SQL语句，成功注入并执行恶意数据库操作，可能导致敏感信息泄露、数据库被篡改或其他严重后果。环境，执行如下命令启动。
【漏洞复现】（1day）宏景-ajax-sql注入exp与漏洞复现
weixin_56297026的博客
12-14 806
网络安全 渗透测试 sql注入 宏景-ajax 漏洞复现
【1day】复现宏景HCM codesettree SQL注入漏洞（CNVD-2023-08743）
记录并分享学习安全的知识点..
07-26 1317
北京宏景世纪软件股份有限公司 HCM codesettree 接口存在SQL注入漏洞，攻击者通过漏洞可以获取到登陆系统的账号密码和数据库信息。
宏景HCM SQL注入漏洞(CNVD-2023-08743) ，hrms加解密工具
11-07
宏景HCM SQL注入漏洞(CNVD-2023-08743) ，hrms加解密工具。需要 Java1.8 环境，执行如下命令启动 HrmsTool 工具， -e 是加密， -d 是解密。 $ java -jar HrmsTool.jar Usage: java -jar HrmsTool.jar -e xxx java ...
SQL Server—约束和主键外键详解
qq_3517289697的博客
10-03 1773
关系型数据库中一条记录有若干个属性，若其中某一个属性能够位置标识这条记录，这个属性就可以设置为表的主键，主键是确定一条记录的唯一标识，有可能作为主键的属性 学生ID、身份证号。-- 语法 alter table 表名 add constraint 约束名 check(列名 between 范围1 and 范围2)-- 语法: alter table 表名 add constraint 约束名 primary key(列名)-- 1. 可控性: 外键的字段值允许为空，表示没有找到关联的表的数据。
mysql学习教程，从入门到精通，SQL 表的创建（33）
qq_45746668的博客
10-03 1217
如何在数据库服务器上创建数据库。现在是时候在数据库中创建一些表，这些表实际上将保存数据。数据库表只是将信息组织成行和列。
SQL Inject-基于报错的信息获取
guanrongl的专栏
10-03 613
在MySQL中使用一些指定的函数来制造报错，从而从报错信息中获取设定的信息。updatexml() : 函数是MYSQL对XML文档数据进行查询和修改的XPATH函数。extractvalue(): 函数也是MYSQL对XML文档数据进行查询的XPATH函数。Updatexm()函数作用: 改变(查找并替换) XML文档中符合条件的节点的值。extractvalue()函数作用:从目标XML中返回包含所查询值的字符串。第二个参数: XPathstring (Xpath格式的字符串)。
掌握嵌套子查询：复杂 SQL 中 * 列的准确表列关系
学习之余随便记记
10-05 852
本文重点讨论在具有 * 列的嵌套子查询中建立表和列之间正确关系的挑战。使用 Teradata SQL 代码示例来说明该过程。本文聚焦于一个别名为 SUBSCRIBER_ 的子查询及其派生的列，这些列在外层查询中被使用。有些列在子查询的选择列表中被明确列出，而其他一些列则来自一个列（SUBSCR.），这个*列引用了 PRD2_ODW.SUBSCRIBER_ 表。接着，分析检查了外层查询的选择列表，特别是来自 SUBSCRIBER_ 子查询的列。
PostgreSQL常用数值处理函数简介
lunan的博客
10-04 602
这些数值处理函数提供了丰富的数值计算功能，从简单的数学操作到更高级的科学计算，满足了大多数数据库操作中的数值处理需求。
postgresql的TOAST表
文牧之的博客
10-04 739
在 PostgreSQL 中，TOAST（The Oversized-Attribute Storage Technique）是一种处理超大数据（如大型文本字段、大型字节数组等）存储的技术。当表中的某些字段非常大，无法直接存储在一个标准 PostgreSQL 数据页中（通常是 8KB），TOAST 就会被用于管理这些超大数据。
PostgreSQL的pglz使用限制
文牧之的博客
10-05 370
在 PostgreSQL 中，PGLZ（PostgreSQL Lightweight Compression Algorithm）是一种用于压缩数据的算法，主要用于 TOAST（The Oversized-Attribute Storage Technique）机制。
IvorySQL 西安站活动回顾｜一键了解IvorySQL新兼容性
最新发布
IvorySQL的博客
10-08 299
pgvector作为PostgreSQL的重要扩展，以其卓越的向量计算能力著称，支持高达16000维度的向量计算能力，使得PostgreSQL能够直接转化为高效的向量数据库。IvorySQL是基于PostgreSQL开发，因此它同样支持添加pgvector扩展。9月7日，IvorySQL社区携手中国开源软件联盟PostgreSQL分会，在古都西安成功举办PostgreSQL技术峰会及IvorySQL西安用户组成立仪式，现场吸引了众多西安PG圈技术爱好者和资深开发小伙伴们的热情参与！
宏景 get_org_tree-sqli
11-30
宏景 get_org_tree-sqli是一种SQL注入攻击。在宏景软件的get_org_tree函数中，存在着未经过滤或者验证的用户输入，导致攻击者可以通过构造恶意的SQL查询语句来对数据库进行未授权的访问和操作。 当应用程序没有正确地对用户输入进行过滤、转义或验证时，攻击者可以利用这个漏洞构造恶意的输入来执行SQL查询语句。攻击者可以注入SQL代码，修改数据库查询语句的逻辑，获取、删除或修改数据库中的数据，甚至完全控制数据库服务器。 为了防止宏景 get_org_tree-sqli攻击，开发人员应该始终遵循安全的编码实践。 1. 输入验证和过滤：应该对所有的用户输入进行验证和过滤，确保输入数据符合预期的格式和类型。可以使用合适的输入验证函数或正则表达式来实现。 2. 使用参数化查询或预处理语句：建议使用参数化查询或预处理语句来执行数据库查询操作，而不是直接拼接用户输入构成的查询语句。参数化查询可以防止SQL注入攻击。 3. 最小权限原则：数据库账户应该按照最小权限原则进行授权，避免给予不必要的权限。这样即使发生了SQL注入攻击，攻击者也只能执行有限的操作。 4. 错误信息处理：避免将详细的错误信息直接输出到用户界面上，这样可能会暴露敏感的数据库结构和错误详情，为攻击者提供攻击的线索。可以将错误信息记录在日志文件中，以便日后的安全审计和调查。 通过以上措施，开发人员可以提高应用程序的安全性，防止宏景 get_org_tree-sqli等SQL注入攻击对系统造成威胁。同时，定期对应用程序进行安全测试和漏洞扫描，及时修复和更新系统中发现的安全漏洞，保障系统安全运行。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

凝聚力安全团队

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值