易宝OA DownloadFile任意文件读取

已于 2024-03-29 13:49:49 修改
阅读量53 收藏
点赞数
分类专栏： 漏洞复现 文章标签： web安全
于 2024-03-29 13:49:22 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43567873/article/details/137142885
版权
易宝OA的DownloadFile接口存在任意文件读取漏洞，允许未授权攻击者读取系统敏感信息，如配置文件和数据库密钥。影响版本包括易宝OA，已知影响2,783个资产。修复建议为更新官方发布的补丁进行升级。" 130362721,11704231,使用TransBigData进行手机信令数据分析,"['Python', '数据处理', '信息可视化', '移动数据分析', '交通时空大数据']
摘要由CSDN通过智能技术生成

产品简介

易宝OA是一种专门为企业和机构的日常办公工作提供服务的综合性软件平台，具有信息管理、流程管理、知识管理（档案和业务管理）、协同办公等多种功能。

漏洞描述

易宝OA DownloadFile接口处存在任意文件读取漏洞，未授权的攻击者可以利用此漏洞读取系统内部敏感配置文件，数据库密钥凭证等，使系统处于极不安全的状态。

fofa及漏洞编号

app=”顶讯科技-易宝OA系统”
影响资产数量：2,783
 

image.png


暂无漏洞编号

影响版本

易宝OA

漏洞复现

POST /api/files/DownloadFile HTTP/1.1
Host: 
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/123.0.0.0 Safari/537.36
Acc
了解本专栏 订阅专栏 解锁全文 超级会员免费看
今天晚上早睡觉
关注
专栏目录
订阅专栏
【漏洞复现】易宝OA-downloadfile-文件读取
知黑而守白
02-20 154
易宝OA系统是一种专门为企业和机构的日常办公工作提供服务的综合性软件平台，具有信息管理、 流程管理 、知识管理（档案和业务管理）、协同办公等多种功能。易宝OA系统 DownloadFile 接口存在任意文件读取漏洞。攻击者可以通过构造精心设计的请求，成功利用漏洞读取服务器上的任意文件，包括敏感系统文件和应用程序配置文件等。通过利用此漏洞，攻击者可能获得系统内的敏感信息，导致潜在的信息泄露风险。
易宝OA downloadfile 任意文件读取
2301_80115097的博客
06-21 328
易宝OA系统是一种专门为企业和机构的日常办公工作提供服务的综合性软件平台，具有信息管理、 流程管理 、知识管理（档案和业务管理）、协同办公等多种功能。声明：⽂中所涉及的技术、思路和⼯具仅供以安全为⽬的的学习交流使⽤，任何⼈不得将其⽤于⾮法⽤途以及盈利等⽬的，否则后果⾃⾏承担。环境搭建、HTML，PHP，MySQL基础学习，信息收集，SQL注入,XSS，CSRF，暴力破解等等。易宝OA downloadfile 文件读取，攻击者可通过此漏洞获取敏感信息。2、如非必要，禁止公网访问该系统。3、设置白名单访问。
易宝OA DownloadFile 任意文件读取漏洞复现
0xSec
02-23 507
​易宝OA系统DownloadFile接口处存在任意文件读取漏洞，未授权的攻击者可以利用此漏洞读取系统内部敏感配置文件，数据库密钥凭证等，使系统处于极不安全的状态。
易宝OA系统DownloadFile接口存在文件读取漏洞
qq_36334672的博客
03-06 273
易宝OA系统是一种专门为企业和机构的日常办公工作提供服务的综合性软件平台，具有信息管理、 流程管理 、知识管理（档案和业务管理）、协同办公等多种功能。DownloadFile接口处存在任意文件读取漏洞，未授权的攻击者可以利用此漏洞读取系统内部敏感配置文件，数据库密钥凭证等，使系统处于极不安全的状态。
【漏洞复现】易宝OA UploadFile存在任意文件上传漏洞
https://blog.echo234.cn/
03-28 882
易宝OA是一款非常强大的手机办公软件，这里不仅为广大的用户提供了一个更好的工作日历，而且每个人都可以在这里进行重要事项的记录，同时软件中还拥有更好的打卡系统，让用户可以快速记录自己的工作时常，而且调班与补卡也会更加的简单，让你工作活跃度得到提升。易宝OA UploadFile存在任意文件上传漏洞,攻击者可通过该漏洞获取服务器权限。
易宝OA UploadBillFile存在任意文件上传漏洞
2301_77012231的博客
07-31 312
易宝OA是一款非常强大的手机办公软件，这里不仅为广大的用户提供了一个更好的工作日历，而且每个人都可以在这里进行重要事项的记录，同时软件中还拥有更好的打卡系统，让用户可以快速记录自己的工作时常，而且调班与补卡也会更加的简单，让你工作活跃度得到提升。易宝OA UploadBillFile存在任意文件上传漏洞,攻击者可通过该漏洞获取服务器权限。
易宝OA 两处任意文件上传漏洞复现
0xSec
12-06 1179
易宝OA系统UploadFile​​​​​​​、BasicService.asmx等接口处存在文件上传漏洞，未授权的攻击者可以上传恶意后门程序执行任意代码，获取服务器权限
易宝OA_UploadFile接口任意文件上传漏洞
weixin_43567873的博客
03-28 255
易宝OA_UploadFile接口任意文件上传漏洞
江苏省2024网络安全知识竞赛 新颖有创意
tinzoom的专栏
10-08 359
每队可以选择一组题进行回答，每组3题，答对第1题得10分，答对后可以选择继续答第2题，也可以中止答题，第2题得20分，答对再20分，如果答错，前面第1题的得分也没有，得0分，第三题30分，答题方式同前。每队选择一个主题进行回答，时间3分钟，答完由4个专家评委和50个大众评委共同打分，专家评委权重67%，大众评委权重33%。四轮下来取排出前三名，如果出现同分，进行加时赛，加时赛为抢答题，一题定胜负。抢答题分两个部分，前8题出题后开始抢，后8题先抢答题权再出题目。8个队同时平板答题，大屏显示各队答题情况。
黑龙江等保测评详细指南
weixin_62641226的博客
10-08 487
黑龙江等保测评是保障信息系统安全的重要环节，通过科学的测评流程和专业的评估机构，帮助企业识别和应对安全风险。等保（信息安全等级保护）是指根据信息系统的重要性和安全需求，对其进行分级保护的制度。费用因测评机构、系统复杂性和测评等级而异，建议咨询具体测评机构获取报价。2. 风险管理：通过测评，识别系统中的安全风险，制定相应的防护措施。测评报告：测评机构出具正式的测评报告，包含评估结果和整改建议。选择测评机构：选择具有资质的第三方测评机构进行正式测评。整改落实：根据测评报告中的建议，进行系统的整改和优化。
网络安全（黑客技术）2024年三个月自学手册
最新发布
2401_85026116的博客
10-11 1503
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。走安全行业的工程方向的，技术上面其实有很大的重叠性，抛开甲乙方、岗位名称、岗位职责等因素来看，作为学技术的，也根据以往我们给学员推荐就业和入职情况来看，只要好好掌握以下几种技术（网络协议与安全设备、Linux操作系统、Web服务部署/开发、主流渗透测试/安全工具、一门及以上的编程语言）中的2到3个，都可以较好的胜任工作需求。
网络安全（黑客）自学
白帽子凯哥聊黑客
10-10 1493
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。无论网络、Web、移动、桌面、云等哪个领域，都有攻与防两面性，例如 Web安全技术，既有 Web 渗透，也有 Web 防御技术（WAF）。作为一个合格的网络安全工程师，应该做到攻守兼备，毕竟知己知彼，才能百战百胜。
网络安全（黑客）——自学2024
2401_84466325的博客
10-10 1507
网络安全是一种综合性的概念，涵盖了保护计算机系统、网络基础设施和数据免受未经授权的访问、攻击、损害或盗窃的一系列措施和技术。经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。作为一个合格的网络安全工程师，应该做到攻守兼备，毕竟知己知彼，才能百战百胜。
Web安全 - 路径穿越（Path Traversal）
小工匠
10-02 2761
路径穿越（Path Traversal）是一种Web应用漏洞，攻击者通过操控输入文件路径参数，以访问系统上未经授权的文件。通过路径穿越，攻击者可以使用诸如../的相对路径绕过访问限制，读取系统敏感信息或修改配置文件。
如何用3个月零基础入门网络安全？_网络安全零基础怎么学习
2401_84466224的博客
10-08 1921
我们知道计算机最早是在西方发明出来的，很多名词或者代码都是英文的，甚至现有的一些教程最初也是英文原版翻译过来的，而且一个漏洞被发现到翻译成中文一般需要一个星期的时间，在这个时间差上漏洞可能都修补了。”答案是否定的，黑客用的电脑,不需要什么高的配置,只要稳定就行.因为黑客所使用的一些程序,低端CPU也可以很好的运行,而且不占什么内存.还有一个,黑客是在DOS命令下对进行的,所以电脑能使用到最佳状态!观看学习近十年所有0day挖掘的帖，然后搭建环境，去复现漏洞，去思考学习笔者的挖洞思维，培养自己的渗透思维。
网络安全合规：等保测评的操作步骤与实施策略
w13359990065的博客
10-08 369
企业应通过成立专门团队、制定实施计划、技术与管理并重、选择专业测评机构、持续培训与演练、建立合规监测机制等策略，确保等保测评顺利通过，构建稳固的网络安全防线，为企业的持续发展提供坚实的安全保障。企业应持续关注等保测评的新趋势和要求，适时调整策略，确保网络安全建设的前瞻性和有效性，为企业的长期发展奠定坚实的安全基础。等保测评的实施与通过，不仅能够帮助企业构建网络安全的合规体系，更是在不断变化的网络威胁环境中，提升企业安全防护能力、保障业务连续性和数据安全的重要步骤。开展应急演练，提升应急响应能力。
Web安全常用工具 （持续更新）
重庆森林不在重庆的博客
10-05 2102
本文讲解在Web安全中常用到的工具，尤其在CTF中，工具往往是高效甚至必不可少的
易宝支付商户后台操作指南
易宝支付商户后台是一个专门为商家设计的管理平台，提供了全面的操作指南，帮助商家更好地理解和使用其服务。手册中的内容涵盖了以下几个主要方面： 1. 名词解释：对易宝支付中的关键术语进行了定义，例如： - ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值