威胁情报：捕获某OA系统0day

免责声明

1. 本文仅用于技术交流，目的是向相关安全人员展示漏洞的存在和利用方式，以便更好地提高网络安全意识和技术水平。

2. 任何人不得利用本文中的技术手段进行非法攻击和侵犯他人的隐私和财产权利。一旦发生任何违法行为，责任自负。

3. 本文中提到的漏洞验证 poc 仅用于授权测试，任何未经授权的测试均属于非法行为。请在法律许可范围内使用此 poc。

4. CVES实验室对使用此 poc 导致的任何直接或间接损失不承担任何责任。使用此 poc 的风险由使用者自行承担。

漏洞描述

万*OA SQL注入漏洞 ，攻击者可使用该漏洞获取目标资产的数据库信息。

该漏洞于2023年12月19日捕获。

FOFA指纹

body="/defaultroot"

补充信息

经过研判发现该漏洞为一个提交到漏洞库的旧洞，不知为什么被泄露了？真有意思。

各位可以对以下路径进行策略加固：

/defaultroot/wpsservlet?option=getSign&**

原文始发于微信公众号（山海之关）：威胁情报：捕获某OA系统0day