万户OA ezOFFICE graph_include.jsp接口SQL注入漏洞复现 [附POC]

已于 2024-08-09 15:56:49 修改
阅读量271 收藏
点赞数 5
分类专栏： 漏洞复现 文章标签： 安全 网络安全 web安全 系统安全
于 2024-08-09 15:50:58 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_48539059/article/details/141063764
版权

文章目录

万户OA ezOFFICE graph_include.jsp接口SQL注入漏洞复现 [附POC]

0x01 前言

免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用！！！

0x02 漏洞描述

万户OA ezoffice是万户网络协同办公产品多年来一直将主要精力致力于中高端市场的一款OA协同办公软件产品，统一的基础管理平台，实现用户数据统一管理、权限统一分配、身份统一认证。

万户OA ezOFFICE graph_include.jsp接口处存在SQL注入漏洞，未授权的攻击者可利用此漏洞获取数据库权限，深入利用可获取服务器权限。

0x03 影响版本

万户OA ezOFFICE

0x04 漏洞环境

FOFA语法：app=“万户ezOFFICE协同管理平台”

了解本专栏 订阅专栏 解锁全文 超级会员免费看
gaynell
关注
专栏目录
订阅专栏
科荣AIO管理系统 moffice接口SQL注入漏洞复现 [附POC]
薛定谔嘚喵博客
07-26 129
科荣AIO管理系统moffice接口存在SQL注入漏洞，攻击者除了可以利用 SQL 注入漏洞获取数据库中的信息（例如，管理员后台密码、站点的用户个人信息）之外，甚至在高权限的情况可向服务器中写入木马，进一步获取服务器系统权限。
万户OA ezOffice RhinoScriptEngineService 命令执行漏洞-1day未公开漏洞
weixin_43167326的博客
02-26 545
万户OA RhinoScriptEngineService接口存在命令执行漏洞，此漏洞可能导致攻击者获取系统权限、执行任意命令，严重威胁系统的机密性和完整性。
科荣 AIO ReportServlet 任意文件读取漏洞复现
0xSec
12-28 940
科荣AIO ReportServlet 接口处存在任意文件读取漏洞，攻击者可通过该漏洞读取系统重要文件（如数据库配置文件、系统配置文件）、数据库配置文件等等，导致网站处于极度不安全状态。
「漏洞复现」时空智友ERP系统updater.uploadStudioFile 任意文件上传漏洞
qq_39894062的博客
06-30 798
请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。本次测试仅供学习使用，如若非法他用，与平台和本文作者无关，需自行负责！！！
万户 ezOFFICE协同管理平台 getAutoCode SQL注入漏洞复现(XVE-2024-18749)
0xSec
08-01 734
​万户 ezOFFICEgetAutoCode.jsp 接口处存在SQL注入漏洞，未经身份验证的远程攻击者可利用此漏洞获取数据库权限，深入利用可获取服务器权限。
【漏洞复现】万户-ezOFFICE DownloadServlet 任意文件下载漏洞
凝聚力安全团队
06-21 337
万户OA-ezOFFICE DownloadServlet 接口存在任意文件读取漏洞，未经身份认证的攻击者可利用此漏洞获取服务器内部敏感文件，使系统处于极不安全的状态。万户软件网络是业内普遍认可的智慧政务办公专家,OA系统国家行业标准编制组长单位,协同软件国家行业标准编制组长单位,22年专注协同管理领域.为您提供定制化的智慧政务一体化办公解决方案。
万户 ezOFFICE graph_include.jsp SQL注入漏洞复现
0xSec
08-09 603
​万户 ezOFFICE/defaultroot/platform/report/graphreport/graph_include.jsp接口处存在SQL注入漏洞，未授权的攻击者可利用此漏洞获取数据库权限，深入利用可获取服务器权限。
万户 ezOFFICE receivefile_gd.jsp SQL注入漏洞复现
最新发布
0xSec
08-21 790
万户 ezOFFICEreceivefile_gd.jsp 接口存在SQL注入漏洞，未授权的攻击者可利用此漏洞获取数据库权限，深入利用可获取服务器权限。
万户 ezOFFICE ezflow_gd.jsp SQL注入漏洞复现
0xSec
01-16 664
​ 万户 ezOFFICEezflow_gd.jsp 存在SQL注入漏洞。由于'DocumentID'参数缺乏过滤，允许攻击者利用漏洞获取数据库敏感信息。
【漏洞复现】万户协同办公平台ezoffice SendFileCheckTemplateEdit.jsp接口存在SQL注入漏洞 附POC
失心少年
11-30 696
漏洞链接：http://127.0.0.1/defaultroot/public/iWebOfficeSign/Template/SendFileCheckTemplateEdit.jsp?技术文章仅供参考，任何个人和组织使用网络应当遵守宪法法律，遵守公共秩序，尊重社会公德，不得利用网络从事危害国家安全、荣誉和利益，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。本文所提供的工具仅用于学习，禁止用于其他！
【漏洞复现】科荣AIO管理系统endTime参数存在SQL注入漏洞
网安小白
08-17 491
科荣AIO 企业⼀体化管理解决⽅案 通过ERPERP（进销存财务）、OAOA（办公⾃动化）、CRMCRM（客⼾关系管理）、UDPUDP（⾃定义平台），集电⼦商务平台、⽀付平台、ERP 平台、微信平台、移动APP 等解决了众多企业客⼾在管理过程中跨部⻔、多功能、需求多变等通⽤及个性化的问题。
【复现】万户ezoffice协同管理平台sql注入漏洞_69
fushuang333的博客
04-09 746
【复现】万户ezoffice协同管理平台sql注入漏洞，攻击者未经授权可以访问数据库中的数据，盗取用户的隐私以及个人信息，造成用户的信息泄露。
万户OA漏洞分析、利用与防护
不忘初心，护天下安全！
09-29 3398
万户OA 除了 /defaultroot/officeserverservlet 接口外的另一处接口 OfficeServer.jsp 同时也存在任意文件上传漏洞，导致攻击者可上传任意文件获取服务器权限。万户OA download_ftp.jsp文件存在任意文件下载漏洞，攻击者通过漏洞可以下载服务器上的任意文件。万户OA download_old.jsp文件存在任意文件下载漏洞，攻击者通过漏洞可以下载服务器上的任意文件。2.使用防火墙等设备对所有相关poc进行检测、防护。可直接上传恶意jsp文件。
【漏洞复现】万户OA RhinoScriptEngineService 命令执行漏洞
qq_67810151的博客
02-27 880
万户ezOFFICE协同管理平台涵盖门户自定义平台、信息知识平台管理、系统管理平台功能，它以工作流引擎为底层服务，以通讯沟通平台为交流手段，以门户自定义平台为信息推送显示平台，为用户提供集成的协同工作环境。
万户OA jsp/view.jsp反射型XSS漏洞复现
afei001
01-10 426
万户OA是集协同软件、门户网站、ERP、CRM、HR、财务、电子邮件、视频会议的功能的一种综合性办公系统。该产品存在反射型XSS漏洞，攻击者可利用该漏洞在HTML上下文中执行JavaScript恶意代码。
【漏洞复现】万户 ezOFFICE协同管理平台 getAutoCode SQL注入
今天是几号的博客
08-01 687
万户OA ezofice是万户网络协同办公产品多年来一直将主要精力致力于中高端市场的一款OA协同办公软件产品，统一的基础管理平台,实现用户数据统一管理、权限统一分配、身份统一认证。万户 ezOFFICE getAutoCodejsp 接口处存在SQL注入漏洞，未经身份验证的远程攻击者可利用此漏洞获取数据库权限，深入利用可获取服务器权限。任何因使用本文所提供的信息或工具而导致的损失、后果或不良影响，均由使用者个人承担责任，与本文作者无关。作者不对任何因使用本文信息或工具而产生的损失或后果承担任何责任。
【漏洞复现】万户OA-AdminService-RCE
知黑而守白
01-19 250
万户OA ezoffice是万户网络协同办公产品多年来一直将主要精力致力于中高端市场的一款OA协同办公软件产品，统一的基础管理平台，实现用户数据统一管理、权限统一分配、身份统一认证。统一规划门户网站群和协同办公平台，将外网信息维护、客户服务、互动交流和日常工作紧密结合起来，有效提高工作效率。万户OA存在一处远程代码执行漏洞，使得攻击者可以通过构造特定的请求远程执行恶意代码。此漏洞可能导致攻击者获取系统权限、执行任意命令，严重威胁系统的机密性和完整性。
万户 ezoffice 文件上传漏洞复现
12-17
万户ezoffice是一个办公软件，用于处理各种办公文档。文件上传漏洞是指系统存在一个安全漏洞，允许攻击者在上传文件时注入恶意代码或者上传非法文件到服务器中。这个问题的产生可能是开发过程中没有充分考虑安全性，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

gaynell

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值