这该死的天气，只有夏冬没有春秋，突然的降温周末两天在家感冒了，一把鼻涕一把泪，只想睡觉。

突然想起来上周好几个朋友向我推荐了，《完蛋，我被美女包围了游戏》这个游戏，狠下心来，花了几十块大洋买了下来。第一次玩这种游戏，里面的美女颜值确实不错哦

不是说好了小孩子才做选择，成年人都要嘛，这尼玛太为难我这个选择困难症了

不过我一直想不通，这么狗血的剧情，为什么这个游戏这么火！！！怎么选择都有美女心碎啊，我也是醉了，好像是没法完美过关。

最后让几个美女都心碎了，我在反思，难道是因为母胎单身二十多年，丧失了恋爱能力？

想想不对啊，游戏主人公顾易是创业失败的人，曾经是个老板，而我至始至终都是个打工仔啊！！！老板身边美女环绕，可以做个时间管理大师，同时和多个美女谈，而打工仔的生活就像辛勤的小蜜蜂一样，日复一日年复一年的采花粉，而且每当收获的季节，还有人来割韭菜，把蜂蜜拿走，不知何年何月才能买得起房。

我也想做老板，可是没有原始的资本积累，只能干个当个卑微打工仔。

想到这里，不由得难过一阵。

于是就想搞个开源POC项目

想想以前刚学安全时候，天天网上找各种好用的扫描器， 找POC。突然想来了我的漏洞库都是用单个Python脚本写的，平时渗透，护网也用不到。怎么把这些都利用起来呢？

一个人平时也没太多时间，不可能及时更新，想找些朋友一起来收集网上的漏洞，一起写POC，搞个项目。这样以后找工作也能吹个牛逼，给自己的简历加上一句话，参与了xxx项目，有xx个start

作为一只颜狗，第一个想到的就是Goby，图形化界面，还有很多的主题，界面做的清爽好看。

可惜，自定义POC实在太复杂了，写个POC要填的东西实在太多了，果断放弃

想用xray，Pocsuite3，Afrog可惜POC太少了。网上看了看只有 Nuclei 官方还经常更新，POC很多，而且圈内用的也比较多。由于Nuclei是国外的开源，国内的漏洞也比较少，而且国内Nuclei POC项目基本上都已经停更，有的也只是发在小圈子里面，正好有时间可以将国内的系统漏洞更新上去。

如果有想参加的朋友后台留言加我，一起来更新POC。

先给小白介绍一下Nuclei

nuclei windows版本下载地址：

https://github.com/projectdiscovery/nuclei/releases/tag/v3.0.3

具体使用方法，这篇文章不再介绍，可以参考

https://www.freebuf.com/sectool/371099.html

接下来就以浙大恩特客户资源管理系统 fileupload.jsp 任意文件上传漏洞为例，演示一下使用

一、漏洞描述

杭州恩软信息技术有限公司（浙大恩特）提供外贸管理软件、外贸客户管理软件等外贸软件，是一家专注于外贸客户资源管理及订单管理产品及服务的综合性公司。

浙大恩特客户资源管理系统中的fileupload.jsp接口存在安全漏洞，允许攻击者向系统上传任意恶意JSP文件，从而可能导致潜在的远程执行代码攻击。该漏洞可能会对系统的完整性和安全性产生严重影响。

二、网络空间搜索引擎搜索

fofa查询：

title="欢迎使用浙大恩特客户资源管理系统"

三、漏洞复现

POC

实战中将上传内容换成webshell木马即可。

四、批量检测

单个检测

./nuclei.exe -t ./enter.yaml -target http://ip:port

批量检测

.nuclei.exe -t enter.yaml -l .test_target.txt

关注微信公众号 网络安全透视镜 回复 20231113 获取POC和Nuclei检测脚本

免责声明：文章来源互联网收集整理，请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。