明源云ERP VisitorWeb_XMLHTTP.aspx SQL注入漏洞

01 阅读须知

亲爱的读者，我们诚挚地提醒您，黑熊安全公众号的技术文章仅供个人研究学习参考。任何因传播或利用本实验室提供的信息而造成的直接或间接后果及损失，均由使用者自行承担责任。黑熊安全团队及作者对此概不负责。如有侵权，请立即告知，我们将立即删除并致歉。感谢您的理解与支持！

02 漏洞描述

明源云ERP是一款专门为房地产行业设计的企业资源计划（ERP）系统。它旨在帮助房地产公司更有效地管理其业务流程，从项目开发到销售，再到售后服务。该系统集成了财务管理、项目管理、合同管理、采购管理、销售管理等多个模块，提供端到端的解决方案。该系统某接口存在SQL注入漏洞，该漏洞可以直接执行SQL语句并且回显到数据包中。

03 资产详情

Hunter语法：app.name="明源云 ERP"

04 漏洞poc

执行该poc返回包中会返回10743259

具体poc放到下面链接了，自行下载。

链接：https://pan.quark.cn/s/551f14c6d03e

05 修复建议

1、对所有输入进行严格的验证和过滤，避免SQL注入攻击。

2、使用参数化查询或预编译语句，避免SQL注入风险。

3、对数据库进行最小权限原则配置，限制应用程序对数据库的访问权限。

4、定期对系统进行安全审计和漏洞扫描，及时发现并修复安全漏洞。

5、对系统进行安全加固，提高系统的安全性和抗攻击能力。

黑熊安全交流群，如果加入不了可以联系黑熊。

原文始发于微信公众号（黑熊安全）：明源云ERP VisitorWeb_XMLHTTP.aspx SQL注入漏洞