正文

烽火狼烟｜用友GRP-U8 SQL注入漏洞

admin
admin V管理员 /0 评论 /66 阅读
0513
此篇文章发布距今已超过129天，您需要注意文章的内容或图片是否可用！

# 点击蓝字，关注我们；设为星标，永不迷路#

声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。

一、漏洞说明

用友GRP-U8的bx_historyDataCheck jsp 存在SQL注入漏洞，由于用友GRP-U8未对用户的输入进行有效的过滤，直接将其拼接进了SQL查询语句中，导致系统出现SQL注入漏洞。本次漏洞主要是对查询语句后拼接的入参注入特定变量值，非法获取数据或对数据库服务器产生影响，存在一定的安全隐患。

影响版本：

用友GRP-U8R10 U8Manager B、C、G 系列产品 < 20230905


二、FOFA 指纹

fofa：app="用友-GRP-U8"

三、漏洞复现

四、修复方案

联系厂商对系统进行升级打补丁。

欢迎各位师傅进群交流安全技术！双节期间，团队会协助加入帮会的内部成员辅助漏洞挖掘工作，促进内部社群的交流氛围。欢迎各位师傅了解！

知识大陆东方隐侠帮会：

​

我们的社群空间：

​

关注东方隐侠安全团队 为安全界刮起一股侠客风

        东方隐侠安全团队，一支专业的网络安全团队，将持续为您分享红蓝对抗、病毒研究、安全运营、应急响应等网络安全知识，提供一流网络安全服务，敬请关注！

公众号｜东方隐侠安全实验室


推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
ZhouSa.com-宙飒天下网