【漏洞复现】（1day）金蝶eas-extweb-任意文件读取漏洞复现

0x01 阅读须知

SCA御盾实验室的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。本文所提供的工具仅用于学习，禁止用于其他！！！

0x02 产品描述

金蝶EAS是金蝶软件股份有限公司推出的企业资源计划（ERP）软件，它集财务、供应链、生产制造、人力资源、商业智能等模块于一体，旨在帮助企业实现资源优化配置，提高运营效率。金蝶EAS具备全面、集成、灵活和可定制的特点，能够满足不同规模和行业企业的需求。通过金蝶EAS，企业可以实现业务流程的自动化、规范化管理，提升决策效率和准确性，增强企业的市场竞争力。

0x03 fofa语法：

app="Kingdee-EAS"

0x04 漏洞复现

python3 main.py -f url.txt -p kingdee-eas-extweb-read-file

0x05 修复建议

1、限制easWebClient接口访问

2、升级金蝶eas至最新版本

3、官网下载最新安全补丁：https://www.kingdee.com/

原文始发于微信公众号（SCA御盾）：【漏洞复现】（1day）金蝶eas-extweb-任意文件读取漏洞复现