当前位置：首页 > news >正文

jsherp importItemExcel接口存在SQL注入

news 2026/4/24 21:09:17

一、漏洞简介

很多人说管伊佳ERP（原名：华夏ERP，英文名：jshERP）是目前人气领先的国产ERP系统
虽然目前只有进销存+财务+生产的功能，但后面将会推出ERP的全部功能，有兴趣请帮点一下

二、漏洞影响

- jshERP v3.3
- OS：Windows/Linux/macOS
- Browser: Chrome、Firefox、Safair

三、网络测绘：

fofa:
icon_hash="-1298131932"指纹：
body="1cd9bcbaae133f03a6eb19da6579aaba"

四、复现过程

利用条件

（该接口需要登陆后才能访问，但是项目中的代码导致可以使用 “/jshERP-boot/doc.html/…%3b/depotItem/importItemExcel” 这样的url进行未授权访问）

首页

步骤 POC 1

构造或者抓取一个数据包，在 /depotItem/importItemExcel 接口处上传一个excel文件）
数据包
在这里插入图片描述

（其中的"C:\Users\hp\Desktop\test.xls"文件内容为）

'1') oR sleep(0.05)--

在这里插入图片描述

（发送数据包可以发现页面会有延迟）

（修改sleep函数时间，延迟发送变化，说明存在SQL注入）

jsherp importItemExcel接口存在SQL注入

一、漏洞简介很多人说管伊佳ERP（原名：华夏ERP，英文名：jshERP）是目前人气领先的国产ERP系统虽然目前只有进销存财务生产的功能，但后面将会推出ERP的全部功能，有兴趣请帮点一下二、漏洞影响 …...

编程日记 2025/2/22 17:05:14

测试data_management函数

测试data_management函数这是我最近正在开发的AI工具信息平台的部门功能模块测试，基于streamlit架构。整理出来与大家分享，也为我以后自己回溯找到资源。为了测试 data_management 函数并结合 Excel 文件中的 “Tools” 表单内容，我们需要…...

编程日记 2025/2/22 17:04:02

微信小程序---计划时钟设计与实现

微信小程序-计划时钟已上线，欢迎各位小伙伴的测试和使用~（微信小程序搜计划时钟即可使用）在这篇博客中，我们将探讨如何在微信小程序中设计和实现一个任务管理功能，该功能允许用户添加、删除和查看任务。任务管理系统的核心是基于日期和时间的任务管理，可以设置任务的开…...

编程日记 2025/2/22 17:01:35

深度学习之图像回归（二）

前言这篇文章主要是在图像回归（一）的基础上对该项目进行的优化。（一）主要是帮助迅速入门理清一个深度学习项目的逻辑这篇文章则主要注重在此基础上对于数据预处理和模型训练进行优化前者会通过涉及PCA主成分分析特征选择后…...

编程日记 2025/2/22 16:57:03

深入理解HttpSecurity的设计

一、HttpSecurity的应用在前章节的介绍中我们讲解了基于配置文件的使用方式，也就是如下的使用。也就是在配置文件中通过 security:http 等标签来定义了认证需要的相关信息，但是在SpringBoot项目中，我们慢慢脱离了xml配置文件的方式，在SpringSecurity中提供了HttpSecurity…...

编程日记 2025/2/22 16:54:38

15增减字符串匹配（贪心）思路解析+源码

文章目录题目[](https://leetcode.cn/problems/di-string-match/)算法原理贪心证明源码总结题目假设s="I D I D"也就是增降增降，在0-4中，每两个数存在这种方式数组为【1, 3，2, 4，0】；（如下图）算法原理解法：贪心 1.当遇到“I”:选择当前最小的那个数 2…...

编程日记 2025/2/22 16:52:25

Java NIO与传统IO性能对比分析

Java NIO与传统IO性能对比分析在Java中，I/O（输入输出）操作是开发中最常见的任务之一。传统的I/O方式基于阻塞模型，而Java NIO（New I/O）引入了非阻塞和基于通道（Channel）和缓冲区&a…...

编程日记 2025/2/22 16:50:08

14.7 LangChain Experimental 模块解析：解锁 Auto-GPT 开发新范式

LangChain Experimental 模块解析：解锁 Auto-GPT 开发新范式关键词：LangChain Experimental、Auto-GPT 实现、自主智能体开发、Agent 架构设计、实验性功能实践 1. LangChain Experimental 模块的定位与核心能力模块定位解析： #mermaid-svg-4xz2OlZBUFjkBmqw {font-fami…...

编程日记 2025/2/22 16:48:59

严格区分大小写 /*** learn_js Macro*/ function test() {Range(D7).Value2Selection.Value2; // Selection.formula "100" }function Workbook_SheetSelectionChange(Sh, Target) {if(Sh.Name Sheet1) {test();}}function test2() {// 把I4单元格及其周边有数的单…...

编程日记 2025/2/22 16:47:53

day16_推荐系统和总结

文章目录 day16_推荐系统和总结一、推荐实现1、基于流行度推荐（掌握）1.1 近期热门商品推荐1.2 个人热门商品推荐 2、基于隐语义模型的协同过滤推荐（了解）2.1 ALS算法介绍2.2 推荐代码 3、基于物品的协同过滤推荐（了解&…...

编程日记 2025/2/22 16:46:34

一文说清楚编码、摘要、加密、公钥、私钥、解密、签名、验签

编码对信息进行编码，没有信息损失，任何人都能通过编码方式对信息进行解码。例如 ASCII 码，base64 编码。例如下面是 ASCII 编码表： 摘要对信息计算摘要值，有信息损失，例如 md5 摘要，sh…...

编程日记 2025/2/22 16:45:15

Repeated Sequence

记suma[1]a[2]a[3]...a[n]。该序列以a[1]，a[2]，a[3]....a[n]为循环节，明显的，问题可转化为:s%sum是否为该序列的某个连续子序列和。断环为链。将a复制一份。枚举a[i]为左端点的所有区间的和。再查找s是否存在。二分O&#x…...

编程日记 2025/2/22 16:42:43

CT dicom 去除床板去除床位，检查床去除

1. 前言医院拍摄患者CT与MRI 图像， 但是CT图像中就会出现检查床的区域，来看CT扫描设备是什么样子的，红色标出区域可以在图中看到，在头部位置安装有固定头部的类似支架的东西，这个东西拍摄出来时什么样子呢&#xff…...

编程日记 2025/2/22 16:41:38

react 踩坑记 too many re-renders.

报错信息： too many re-renders. React limits the number of randers to prevent an infinite loop. 需求 tabs只有特定标签页才展示某些按钮 button要用传递函数引用方式 ()>{} *还有要注意子组件内loading触发导致的重复渲染...

编程日记 2025/2/22 16:39:15

YOLOv8与BiFormer注意力机制的融合：提升多场景目标检测性能的研究

文章目录 1. YOLOv8的改进背景2. BiFormer注意力机制的核心原理2.1 Bi-level Attention结构2.2 路由策略与加权融合 3. YOLOv8与BiFormer的结合3.1 YOLOv8架构概述3.2 BiFormer与YOLOv8的融合策略 4. 实现代码示例5. 结果分析与实验5.1 数据集与实验设置5.2 实验结果 6. 进一步…...

编程日记 2025/2/22 16:37:54

Ubuntu24.04LTS的下载安装超细图文教程（VMware虚拟机及正常安装）

😸个人主页👉：神兽汤姆猫 📖系列专栏：开发语言环境配置、 Java学习、Java面试、Markdown等学习上的每一次进步，均来自于平时的努力与坚持。 💕如果此篇文章对您有帮助的话，请点…...

编程日记 2025/2/22 16:35:27

c++贪心系列

各位小伙伴们新年好呀，这是年后的第一篇文章，那么还是一样，我们继续学习这个贪心算法。第一题题目链接 2418. 按身高排序 - 力扣（LeetCode） 题目解析代码原理方法一 1.先创建一个下标数组，将两个数…...

编程日记 2025/2/22 16:32:04

爬虫第七篇数据爬取及解析

这篇博客旨在分享学习过程中的心得和体会，如果有错误请指出，感谢大家。经过前面的学习，那么我们也就进入了数据爬取的阶段，大家跟着我的步伐一起来学习一下，爬虫的数据爬取与数据解析（本篇主要针对于带有…...

编程日记 2025/2/22 16:30:58

LangChain 技术入门指南：探索语言模型的无限可能

在当今的技术领域，LangChain 正逐渐崭露头角，成为开发语言模型应用的强大工具。如果你渴望深入了解并掌握这一技术，那么就跟随本文一起开启 LangChain 的入门之旅吧！ (后续将持续输出关于LangChain的技术文章,有兴趣的同学可以关注…...

编程日记 2025/2/22 16:29:53

解锁D3.js与PlantUML的交互奥秘：探索知识图谱数据可视化新领域

解锁D3.js与PlantUML的交互魔法：数据可视化新征程在前端开发的广袤天地里，数据可视化一直是一颗璀璨的明珠，吸引着无数开发者探索其奥秘。而当D3.js这一强大的JavaScript库，遇上专注于创建UML图的PlantUML，一场奇妙的…...

编程日记 2025/2/22 16:28:43

R语言新包pm3保姆级教程：三组倾向评分匹配，5分钟搞定SCI论文数据预处理

R语言pm3包实战指南：三组倾向评分匹配的科研加速方案当你在深夜实验室盯着三组基线不平衡的回顾性数据发愁时，咖啡杯旁堆积的文献可能正在提醒你：距离论文截稿只剩72小时。医学和社会科学研究中，这种场景几乎每天都在重演——直到…...

编程新知 2026/4/24 19:43:19

运维笔记：一次搞定金山V9终端安全在CentOS/RHEL 7上的客户端注册

企业级终端安全部署实战：金山V9在CentOS/RHEL 7的完整注册指南当企业IT基础设施面临日益复杂的威胁环境时，终端安全系统的可靠部署成为防护体系的关键一环。金山终端安全系统V9作为国内主流的企业级防护解决方案，其Linux客户端的稳定运行直接…...

编程新知 2026/4/24 19:01:14

STM32 ADC+高速DMA 采集原理与实战

一、核心概念1. 什么是 ADC？ADC 是模数转换器，作用是把模拟电压转换成数字值。STM32F103 的 ADC 是 12 位的，输出范围 0~4095，对应电压范围 0~3.3V，换算公式：电压 ADC值 3.3V / 4096。2. 什么是 DMA&…...

编程新知 2026/4/24 17:56:49

Windows风扇控制终极方案：3个实用技巧让电脑静音又高效

Windows风扇控制终极方案：3个实用技巧让电脑静音又高效【免费下载链接】FanControl.Releases This is the release repository for Fan Control, a highly customizable fan controlling software for Windows. 项目地址: https://gitcode.com/GitHub_Trending/f…...

编程新知 2026/4/24 17:23:17