金和OA C6 DownLoadBgImage任意文件读取漏洞
金和OA C6 DownLoadBgImage任意文件读取漏洞
漏洞描述
金和C6数据库是一款针对企业信息化管理而设计的高级数据库管理系统，主要应用于企业资源规划（ERP）、客户关系管理（CRM）以及办公自动化（OA）等领域。金和OA C6 接口JHSoft.Web.AddMenu/LoginTemplate/DownLoadBgImage.aspx 其参数path存在文件遍历漏洞可读取系统任意文件，造成信息泄露。
威胁等级: 高危
漏洞分类: 信息泄露
涉及厂商及产品：金和C6
应用指纹及检出思路
此用存在二次开发的可能性，接口存在JHSoft 关键词可大致判断
fofa：body="JHSoft.Web.AddMenu" || app="金和网络-金和OA"
漏洞复现
GET /C6/JHSoft.Web.AddMenu/LoginTemplate/DownLoadBgImage.aspx/?path=/C6/Web.config HTTP/1.1 Host:
检测思路
检测web.config关键字段即可。如 等。
修复建议
设置访问控制策略，禁用此接口
相关文章：
金和OA C6 DownLoadBgImage任意文件读取漏洞
金和OA C6 DownLoadBgImage任意文件读取漏洞 漏洞描述 金和C6数据库是一款针对企业信息化管理而设计的高级数据库管理系统，主要应用于企业资源规划（ERP）、客户关系管理（CRM）以及办公自动化（OA）…...
【stm32学习】STM32F103实操primary（FlyMCU）
github插入图片实在是太难用了，暂时懒得学就先用CSDN吧hh 一、在设备管理器下，找到单片机，并检查与FlyMCU-搜索端口 显示的是否一致 二、在搜索串口右面的栏里选中该Port，波特率选中115200 三、选择文件夹中的.hex文件࿰…...
如何将Excel的表格存为图片？
emmm，不知道题主具体的应用场景是什么，就分享几个我一般会用到的场景下奖excel表格保存为图片的技巧吧！ 先来个总结： 方法 适用场景 画质 操作难度 截图（WinShiftS） 快速保存表格，方便粘贴…...
51单片机之使用Keil uVision5创建工程以及使用stc-isp进行程序烧录步骤
一、Keil uVision5创建工程步骤 1.点击项目，新建 2.新建目录 3.选择目标机器，直接搜索at89c52选择，然后点击OK 4.是否添加起吊文件，一般选择否 5.再新建的项目工程中添加文件 6.选择C文件 7.在C文件中右键，添加…...
AUTOSAR面试题集锦（1）
最基础概念 什么是AUTOSAR？AUTOSAR到底做了什么？ AUTOSAR，即汽车开放系统架构，是一套专门用于汽车的开放性的框架和行业标准，旨在标准化汽车开发的流程。 AUTOSAR 通过标准化软件接口、交换格式和方法论等内容，主要实现以下几个目标： 1. 使软件和硬件彼此独立，让应…...
【Uniapp-Vue3】从uniCloud中获取数据
需要先获取数据库对象： let db uniCloud.database(); 获取数据库中数据的方法： db.collection("数据表名称").get(); 所以就可以得到下面的这个模板： let 函数名 async () > { let res await db.collection("数据表名称…...
AIOS: 一个大模型驱动的Multi-Agent操作系统设计与Code分析
AIOS: 一个大模型驱动的Multi-Agent操作系统设计与Code分析 随着人工智能技术的快速发展，传统操作系统逐渐暴露出难以适应AI时代多样化需求的局限性。特别是在支持多个智能体协同工作方面存在显著不足。为此，我们提出了一种名为AIOS（Artifici…...
Python----Python高级（网络编程：网络基础：发展历程，IP地址，MAC地址，域名，端口，子网掩码，网关，URL，DHCP，交换机）
一、网络 早期的计算机程序都是在本机上运行的，数据存储和处理都在同一台机器上完成。随着技术的发展，人 们开始有了让计算机之间相互通信的需求。例如安装在个人计算机上的计算器或记事本应用，其运行环 境仅限于个人计算机内部。这种设置虽然…...
收集的面试资料
转载自：NLP_基于酒店评论的情感分析-CSDN博客 机器学习的一般过程 如何介绍项目： 项目背景：项目输入，输出，后续应用点 项目数据：数据来源 数据处理方法：是否有脏数据，如何处理脏数据…...
pytest-xdist 进行多进程并发测试！
在软件开发过程中，测试是确保代码质量和可靠性的关键步骤。随着项目规模的扩大和复杂性的增加，测试用例的执行效率变得尤为重要。为了加速测试过程，特别是对于一些可以并行执行的测试用 例，pytest-xdist 提供了一种强大的工具&…...
LVGL4种输入设备详解（触摸、键盘、实体按键、编码器）
lvgl有触摸、键盘、实体按键、编码器四种输入设备 先来分析一下这四种输入设备有什么区别 （1）LV_INDEV_TYPE_POINTER 主要用于触摸屏 用到哪个输入设备保留哪个其他的也是，保留触摸屏输入的任务注册，其它几种种输入任务的注册&…...
全流程安装DeepSeek开源模型
目录 配置要求安装Ollama选择大模型安装大模型对话备注 配置要求 我的电脑配置为： CPU：i7 12代 GPU：3080 内存：32g 磁盘：1T以上配置运行情况： 运行ollama run deepseek-r1:7b模型无压力，CPU/…...
人工智能领域-CNN 卷积神经网络 性能调优
在自动驾驶领域，对卷积神经网络（CNN）进行性能调优至关重要，以下从数据处理、模型架构、训练过程、超参数调整和模型部署优化等多个方面为你详细介绍调优方法，并给出相应的代码示例。 1. 数据处理 数据增强࿱…...
人工智能A*算法与CNN结合- CNN 增加卷积层的数量，并对卷积核大小进行调整
以下是一个增强版的将 A* 算法与卷积神经网络（CNN）结合的代码实现，其中 CNN 增加了卷积层的数量，并对卷积核大小进行了调整。整体思路依然是先利用 A* 算法生成训练数据，再用这些数据训练 CNN 模型，最后使用…...
机器学习中常用的评价指标
一、分类任务常用指标 1. 准确率（Accuracy） 定义：正确预测样本数占总样本数的比例。优点：直观易懂，适用于类别平衡的数据。缺点：对类别不平衡数据敏感（如欺诈检测中99%的负样本）。…...
Windows安装cwgo，一直安装的是linux平台的
Windows安装cwgo，一直安装的是linux平台的 查看 go env ，发现 GOOSlinux 临时修改 GOOS ，set GOOSwindows ，再安装。 此时，安装的就是 windows 的可执行文件。安装之后再将 GOOS 修改回来即可。...
GitHub Pages + Jekyll 博客搭建指南(静态网站)
目录 🚀 静态网站及其生成工具指南🌍 什么是静态网站？📌 静态网站的优势⚖️ 静态网站 VS 动态网站 🚀 常见的静态网站生成器对比🛠️ 使用 GitHub Pages Jekyll 搭建个人博客📌 1. 创建 GitHu…...
21.[前端开发]Day21-HTML5新增内容-CSS函数-BFC-媒体查询
王者荣耀-网页缩小的问题处理 为什么会产生这个问题？怎么去解决 可以给body设置最小宽度 1 HTML5新增元素 HTML5语义化元素 HTML5其他新增元素 2 Video、Audio元素 HTML5新增元素 - video video支持的视频格式 video的兼容性写法 HTML5新增元素 - audio audio…...
C++SLT（五）——list
目录 一、list的介绍二、list的使用list的定义方式 三、list的插入和删除push_back和pop_backpush_front和pop_frontinserterase 四、list的迭代器使用五、list的元素获取六、list的大小控制七、list的操作函数sort和reversemergeremoveremove_ifuniqueassignswap 一、list的介…...
网络安全ITP是什么 网络安全产品ips
DS/IPS都是专门针对计算机病毒和黑客入侵而设计的网络安全设备 1、含义不同 IDS ：入侵检测系统（发现非法入侵只能报警不能自己过滤） 做一个形象的比喻：假如防火墙是一幢大楼的门锁，那么IDS就是这幢大楼里的监视系统…...
3步打造你的专属阅读系统：开源工具如何重构数字阅读体验
3步打造你的专属阅读系统：开源工具如何重构数字阅读体验 【免费下载链接】legado-Harmony 开源阅读鸿蒙版仓库 项目地址: https://gitcode.com/gh_mirrors/le/legado-Harmony 你是否曾遇到这样的困扰：阅读APP充斥广告弹窗、书源受限无法找到心仪内…...
MATLAB图表美化指南：xlabel/ylabel上标下标的5种高级用法
MATLAB图表美化指南：xlabel/ylabel上标下标的5种高级用法 在数据可视化领域，MATLAB作为一款强大的科学计算软件，其图表绘制功能一直被科研人员和工程师广泛使用。然而，许多用户在基础绘图之外，往往忽略了坐标轴标签这一…...
解决Redis测试环境搭建难题的try.redis工具：零配置交互式终端功能全解析
解决Redis测试环境搭建难题的try.redis工具：零配置交互式终端功能全解析 【免费下载链接】try.redis A demonstration of the Redis database. 项目地址: https://gitcode.com/gh_mirrors/tr/try.redis 在日常开发中，开发者常常面临Redis测试环境…...
SPIRAN ART SUMMONER跨平台适配：Windows/macOS/Linux下Streamlit祭坛兼容性
SPIRAN ART SUMMONER跨平台适配：Windows/macOS/Linux下Streamlit祭坛兼容性 1. 引言：当幻光祭坛遇见不同操作系统 想象一下，你刚刚在网络上看到了一个令人惊叹的AI图像生成工具——SPIRAN ART SUMMONER。它那充满《最终幻想10》风格的“幻光…...
如何用kill-doc解决30+文档平台下载难题：免费高效的文档获取方案
如何用kill-doc解决30文档平台下载难题：免费高效的文档获取方案 【免费下载链接】kill-doc 看到经常有小伙伴们需要下载一些免费文档，但是相关网站浏览体验不好各种广告，各种登录验证，需要很多步骤才能下载文档，该脚本…...
终极Ghidra安装指南：5分钟在Ubuntu系统快速部署逆向工程神器
终极Ghidra安装指南：5分钟在Ubuntu系统快速部署逆向工程神器 【免费下载链接】ghidra_installer Helper scripts to set up OpenJDK 11 and scale Ghidra for 4K on Ubuntu 18.04 / 18.10 项目地址: https://gitcode.com/gh_mirrors/gh/ghidra_installer 想要…...
Axure Mac全汉化3步法：设计师效率提升实战指南
Axure Mac全汉化3步法：设计师效率提升实战指南 【免费下载链接】axure-cn Chinese language file for Axure RP. Axure RP 简体中文语言包，不定期更新。支持 Axure 9、Axure 10。 项目地址: https://gitcode.com/gh_mirrors/ax/axure-cn 你是否曾…...
PCB设计实战：数字模拟隔离的元件抉择——从0Ω电阻到磁珠的精准应用
1. 数字模拟隔离的基础原理与挑战 在混合信号电路设计中，数字电路和模拟电路就像两个性格迥异的邻居。数字电路工作时会产生高频开关噪声，就像隔壁装修时的电钻声；而模拟电路对噪声极其敏感，如同正在录音的麦克风。这时候…...
Project Sistine核心代码剖析：从图像分割到鼠标事件模拟
Project Sistine核心代码剖析：从图像分割到鼠标事件模拟 【免费下载链接】sistine Turn a MacBook into a Touchscreen with $1 of Hardware 项目地址: https://gitcode.com/gh_mirrors/si/sistine Project Sistine是一个创新的开源项目，它能让普…...
OpenClaw隐私方案：nanobot镜像本地化部署与敏感数据处理实践
OpenClaw隐私方案：nanobot镜像本地化部署与敏感数据处理实践 1. 为什么需要本地化部署的AI助手？ 去年在处理一份涉及客户隐私的法律文件时，我遇到了一个两难选择：要么手动逐条整理数百页文档，要么使用云端AI工具但面…...