jsherp importItemExcel接口存在SQL注入
一、漏洞简介
- 很多人说管伊佳ERP（原名：华夏ERP，英文名：jshERP）是目前人气领先的国产ERP系统
- 虽然目前只有进销存+财务+生产的功能，但后面将会推出ERP的全部功能，有兴趣请帮点一下
二、漏洞影响
- jshERP v3.3
- OS：Windows/Linux/macOS
- Browser: Chrome、Firefox、Safair
三、网络测绘：
fofa:
icon_hash="-1298131932"指纹：
body="1cd9bcbaae133f03a6eb19da6579aaba"
四、复现过程
利用条件
（该接口需要登陆后才能访问，但是项目中的代码导致可以使用 “/jshERP-boot/doc.html/…%3b/depotItem/importItemExcel” 这样的url进行未授权访问）
首页
步骤 POC 1
构造或者抓取一个数据包，在 /depotItem/importItemExcel 接口处上传一个excel文件）
数据包
（其中的"C:\Users\hp\Desktop\test.xls"文件内容为）
'1') oR sleep(0.05)--
（发送数据包可以发现页面会有延迟）
（修改sleep函数时间，延迟发送变化，说明存在SQL注入）
相关文章：
jsherp importItemExcel接口存在SQL注入
一、漏洞简介 很多人说管伊佳ERP（原名：华夏ERP，英文名：jshERP）是目前人气领先的国产ERP系统虽然目前只有进销存财务生产的功能，但后面将会推出ERP的全部功能，有兴趣请帮点一下 二、漏洞影响 …...
测试data_management函数
测试data_management函数 这是我最近正在开发的AI工具信息平台的部门功能模块测试，基于streamlit架构。整理出来与大家分享，也为我以后自己回溯找到资源。 为了测试 data_management 函数并结合 Excel 文件中的 “Tools” 表单内容，我们需要…...
微信小程序---计划时钟设计与实现
微信小程序-计划时钟已上线，欢迎各位小伙伴的测试和使用~（微信小程序搜计划时钟即可使用） 在这篇博客中，我们将探讨如何在微信小程序中设计和实现一个任务管理功能，该功能允许用户添加、删除和查看任务。任务管理系统的核心是基于日期和时间的任务管理，可以设置任务的开…...
深度学习之图像回归（二）
前言 这篇文章主要是在图像回归（一）的基础上对该项目进行的优化。（一）主要是帮助迅速入门 理清一个深度学习项目的逻辑 这篇文章则主要注重在此基础上对于数据预处理和模型训练进行优化前者会通过涉及PCA主成分分析 特征选择 后…...
深入理解HttpSecurity的设计
一、HttpSecurity的应用 在前章节的介绍中我们讲解了基于配置文件的使用方式，也就是如下的使用。 也就是在配置文件中通过 security:http 等标签来定义了认证需要的相关信息，但是在SpringBoot项目中，我们慢慢脱离了xml配置文件的方式，在SpringSecurity中提供了HttpSecurity…...
15增减字符串匹配（贪心）思路解析+源码
文章目录 题目[](https://leetcode.cn/problems/di-string-match/)算法原理贪心证明源码总结题目 假设s="I D I D"也就是增降增降，在0-4中，每两个数存在这种方式数组为【1, 3，2, 4，0】；（如下图） 算法原理 解法：贪心 1.当遇到“I”:选择当前最小的那个数 2…...
Java NIO与传统IO性能对比分析
Java NIO与传统IO性能对比分析 在Java中，I/O（输入输出）操作是开发中最常见的任务之一。传统的I/O方式基于阻塞模型，而Java NIO（New I/O）引入了非阻塞和基于通道（Channel）和缓冲区&a…...
14.7 LangChain Experimental 模块解析：解锁 Auto-GPT 开发新范式
LangChain Experimental 模块解析：解锁 Auto-GPT 开发新范式 关键词：LangChain Experimental、Auto-GPT 实现、自主智能体开发、Agent 架构设计、实验性功能实践 1. LangChain Experimental 模块的定位与核心能力 模块定位解析： #mermaid-svg-4xz2OlZBUFjkBmqw {font-fami…...
wps中的js开发
严格区分大小写 /*** learn_js Macro*/ function test() {Range(D7).Value2Selection.Value2; // Selection.formula "100" }function Workbook_SheetSelectionChange(Sh, Target) {if(Sh.Name Sheet1) {test();}}function test2() {// 把I4单元格及其周边有数的单…...
day16_推荐系统和总结
文章目录 day16_推荐系统和总结一、推荐实现1、基于流行度推荐（掌握）1.1 近期热门商品推荐1.2 个人热门商品推荐 2、基于隐语义模型的协同过滤推荐（了解）2.1 ALS算法介绍2.2 推荐代码 3、基于物品的协同过滤推荐（了解&…...
一文说清楚编码、摘要、加密、公钥、私钥、解密、签名、验签
编码 对信息进行编码，没有信息损失，任何人都能通过编码方式对信息进行解码。例如 ASCII 码，base64 编码。 例如下面是 ASCII 编码表： 摘要 对信息计算摘要值，有信息损失，例如 md5 摘要，sh…...
Repeated Sequence
记suma[1]a[2]a[3]...a[n]。 该序列以a[1]，a[2]，a[3]....a[n]为循环节，明显的，问题可转化为:s%sum是否为该序列的某个连续子序列和。 断环为链。将a复制一份。 枚举a[i]为左端点的所有区间的和。再查找s是否存在。二分O&#x…...
CT dicom 去除床板 去除床位，检查床去除
1. 前言 医院拍摄患者CT与MRI 图像， 但是CT图像中就会出现检查床的区域，来看CT扫描设备是什么样子的，红色标出区域 可以在图中看到，在头部位置安装有固定头部的类似支架的东西，这个东西拍摄出来时什么样子呢ÿ…...
react 踩坑记 too many re-renders.
报错信息： too many re-renders. React limits the number of randers to prevent an infinite loop. 需求 tabs只有特定标签页才展示某些按钮 button要用 传递函数引用方式 ()>{} *还有要注意子组件内loading触发 导致的重复渲染...
YOLOv8与BiFormer注意力机制的融合：提升多场景目标检测性能的研究
文章目录 1. YOLOv8的改进背景2. BiFormer注意力机制的核心原理2.1 Bi-level Attention结构2.2 路由策略与加权融合 3. YOLOv8与BiFormer的结合3.1 YOLOv8架构概述3.2 BiFormer与YOLOv8的融合策略 4. 实现代码示例5. 结果分析与实验5.1 数据集与实验设置5.2 实验结果 6. 进一步…...
Ubuntu24.04LTS的下载安装超细图文教程（VMware虚拟机及正常安装）
😸个人主页👉：神兽汤姆猫 📖系列专栏：开发语言环境配置 、 Java学习 、Java面试 、Markdown等 学习上的每一次进步，均来自于平时的努力与坚持。 💕如果此篇文章对您有帮助的话，请点…...
c++贪心系列
各位小伙伴们新年好呀，这是年后的第一篇文章，那么还是一样，我们继续学习这个贪心算法。 第一题 题目链接 2418. 按身高排序 - 力扣（LeetCode） 题目解析 代码原理 方法一 1.先创建一个下标数组，将两个数…...
爬虫第七篇数据爬取及解析
这篇博客旨在分享学习过程中的心得和体会，如果有错误请指出，感谢大家。 经过前面的学习，那么我们也就进入了数据爬取的阶段，大家跟着我的步伐一起来学习一下，爬虫的数据爬取与数据解析（本篇主要针对于带有…...
LangChain 技术入门指南：探索语言模型的无限可能
在当今的技术领域，LangChain 正逐渐崭露头角，成为开发语言模型应用的强大工具。如果你渴望深入了解并掌握这一技术，那么就跟随本文一起开启 LangChain 的入门之旅吧！ (后续将持续输出关于LangChain的技术文章,有兴趣的同学可以关注…...
解锁D3.js与PlantUML的交互奥秘：探索知识图谱数据可视化新领域
解锁D3.js与PlantUML的交互魔法：数据可视化新征程 在前端开发的广袤天地里，数据可视化一直是一颗璀璨的明珠，吸引着无数开发者探索其奥秘。而当D3.js这一强大的JavaScript库，遇上专注于创建UML图的PlantUML，一场奇妙的…...
7.4.分块查找
一.分块查找的算法思想： 1.实例： 以上述图片的顺序表为例， 该顺序表的数据元素从整体来看是乱序的，但如果把这些数据元素分成一块一块的小区间， 第一个区间[0,1]索引上的数据元素都是小于等于10的， 第二…...
centos 7 部署awstats 网站访问检测
一、基础环境准备（两种安装方式都要做） bash # 安装必要依赖 yum install -y httpd perl mod_perl perl-Time-HiRes perl-DateTime systemctl enable httpd # 设置 Apache 开机自启 systemctl start httpd # 启动 Apache二、安装 AWStats࿰…...
【git】把本地更改提交远程新分支feature_g
创建并切换新分支 git checkout -b feature_g 添加并提交更改 git add . git commit -m “实现图片上传功能” 推送到远程 git push -u origin feature_g...
OD 算法题 B卷【正整数到Excel编号之间的转换】
文章目录 正整数到Excel编号之间的转换 正整数到Excel编号之间的转换 excel的列编号是这样的：a b c … z aa ab ac… az ba bb bc…yz za zb zc …zz aaa aab aac…; 分别代表以下的编号1 2 3 … 26 27 28 29… 52 53 54 55… 676 677 678 679 … 702 703 704 705;…...
redis和redission的区别
Redis 和 Redisson 是两个密切相关但又本质不同的技术，它们扮演着完全不同的角色： Redis: 内存数据库/数据结构存储 本质： 它是一个开源的、高性能的、基于内存的 键值存储数据库。它也可以将数据持久化到磁盘。 核心功能： 提供丰…...
鸿蒙（HarmonyOS5）实现跳一跳小游戏
下面我将介绍如何使用鸿蒙的ArkUI框架，实现一个简单的跳一跳小游戏。 1. 项目结构 src/main/ets/ ├── MainAbility │ ├── pages │ │ ├── Index.ets // 主页面 │ │ └── GamePage.ets // 游戏页面 │ └── model │ …...
阿里云Ubuntu 22.04 64位搭建Flask流程（亲测）
cd /home 进入home盘 安装虚拟环境： 1、安装virtualenv pip install virtualenv 2.创建新的虚拟环境： virtualenv myenv 3、激活虚拟环境（激活环境可以在当前环境下安装包） source myenv/bin/activate 此时，终端…...
论文阅读：Matting by Generation
今天介绍一篇关于 matting 抠图的文章，抠图也算是计算机视觉里面非常经典的一个任务了。从早期的经典算法到如今的深度学习算法，已经有很多的工作和这个任务相关。这两年 diffusion 模型很火，大家又开始用 diffusion 模型做各种 CV 任务了&am…...
[特殊字符] 手撸 Redis 互斥锁那些坑
📖 手撸 Redis 互斥锁那些坑 最近搞业务遇到高并发下同一个 key 的互斥操作，想实现分布式环境下的互斥锁。于是私下顺手手撸了个基于 Redis 的简单互斥锁，也顺便跟 Redisson 的 RLock 机制对比了下，记录一波，别踩我踩过…...
Mac flutter环境搭建
一、下载flutter sdk 制作 Android 应用 | Flutter 中文文档 - Flutter 中文开发者网站 - Flutter 1、查看mac电脑处理器选择sdk 2、解压 unzip ~/Downloads/flutter_macos_arm64_3.32.2-stable.zip \ -d ~/development/ 3、添加环境变量 命令行打开配置环境变量文件 ope…...