jsherp importItemExcel接口存在SQL注入
一、漏洞简介
- 很多人说管伊佳ERP（原名：华夏ERP，英文名：jshERP）是目前人气领先的国产ERP系统
- 虽然目前只有进销存+财务+生产的功能，但后面将会推出ERP的全部功能，有兴趣请帮点一下
二、漏洞影响
- jshERP v3.3
- OS：Windows/Linux/macOS
- Browser: Chrome、Firefox、Safair
三、网络测绘：
fofa:
icon_hash="-1298131932"指纹：
body="1cd9bcbaae133f03a6eb19da6579aaba"
四、复现过程
利用条件
（该接口需要登陆后才能访问，但是项目中的代码导致可以使用 “/jshERP-boot/doc.html/…%3b/depotItem/importItemExcel” 这样的url进行未授权访问）
首页
步骤 POC 1
构造或者抓取一个数据包，在 /depotItem/importItemExcel 接口处上传一个excel文件）
数据包
（其中的"C:\Users\hp\Desktop\test.xls"文件内容为）
'1') oR sleep(0.05)--
（发送数据包可以发现页面会有延迟）
（修改sleep函数时间，延迟发送变化，说明存在SQL注入）
相关文章：
jsherp importItemExcel接口存在SQL注入
一、漏洞简介 很多人说管伊佳ERP（原名：华夏ERP，英文名：jshERP）是目前人气领先的国产ERP系统虽然目前只有进销存财务生产的功能，但后面将会推出ERP的全部功能，有兴趣请帮点一下 二、漏洞影响 …...
测试data_management函数
测试data_management函数 这是我最近正在开发的AI工具信息平台的部门功能模块测试，基于streamlit架构。整理出来与大家分享，也为我以后自己回溯找到资源。 为了测试 data_management 函数并结合 Excel 文件中的 “Tools” 表单内容，我们需要…...
微信小程序---计划时钟设计与实现
微信小程序-计划时钟已上线，欢迎各位小伙伴的测试和使用~（微信小程序搜计划时钟即可使用） 在这篇博客中，我们将探讨如何在微信小程序中设计和实现一个任务管理功能，该功能允许用户添加、删除和查看任务。任务管理系统的核心是基于日期和时间的任务管理，可以设置任务的开…...
深度学习之图像回归（二）
前言 这篇文章主要是在图像回归（一）的基础上对该项目进行的优化。（一）主要是帮助迅速入门 理清一个深度学习项目的逻辑 这篇文章则主要注重在此基础上对于数据预处理和模型训练进行优化前者会通过涉及PCA主成分分析 特征选择 后…...
深入理解HttpSecurity的设计
一、HttpSecurity的应用 在前章节的介绍中我们讲解了基于配置文件的使用方式，也就是如下的使用。 也就是在配置文件中通过 security:http 等标签来定义了认证需要的相关信息，但是在SpringBoot项目中，我们慢慢脱离了xml配置文件的方式，在SpringSecurity中提供了HttpSecurity…...
15增减字符串匹配（贪心）思路解析+源码
文章目录 题目[](https://leetcode.cn/problems/di-string-match/)算法原理贪心证明源码总结题目 假设s="I D I D"也就是增降增降，在0-4中，每两个数存在这种方式数组为【1, 3，2, 4，0】；（如下图） 算法原理 解法：贪心 1.当遇到“I”:选择当前最小的那个数 2…...
Java NIO与传统IO性能对比分析
Java NIO与传统IO性能对比分析 在Java中，I/O（输入输出）操作是开发中最常见的任务之一。传统的I/O方式基于阻塞模型，而Java NIO（New I/O）引入了非阻塞和基于通道（Channel）和缓冲区&a…...
14.7 LangChain Experimental 模块解析：解锁 Auto-GPT 开发新范式
LangChain Experimental 模块解析：解锁 Auto-GPT 开发新范式 关键词：LangChain Experimental、Auto-GPT 实现、自主智能体开发、Agent 架构设计、实验性功能实践 1. LangChain Experimental 模块的定位与核心能力 模块定位解析： #mermaid-svg-4xz2OlZBUFjkBmqw {font-fami…...
wps中的js开发
严格区分大小写 /*** learn_js Macro*/ function test() {Range(D7).Value2Selection.Value2; // Selection.formula "100" }function Workbook_SheetSelectionChange(Sh, Target) {if(Sh.Name Sheet1) {test();}}function test2() {// 把I4单元格及其周边有数的单…...
day16_推荐系统和总结
文章目录 day16_推荐系统和总结一、推荐实现1、基于流行度推荐（掌握）1.1 近期热门商品推荐1.2 个人热门商品推荐 2、基于隐语义模型的协同过滤推荐（了解）2.1 ALS算法介绍2.2 推荐代码 3、基于物品的协同过滤推荐（了解&…...
一文说清楚编码、摘要、加密、公钥、私钥、解密、签名、验签
编码 对信息进行编码，没有信息损失，任何人都能通过编码方式对信息进行解码。例如 ASCII 码，base64 编码。 例如下面是 ASCII 编码表： 摘要 对信息计算摘要值，有信息损失，例如 md5 摘要，sh…...
Repeated Sequence
记suma[1]a[2]a[3]...a[n]。 该序列以a[1]，a[2]，a[3]....a[n]为循环节，明显的，问题可转化为:s%sum是否为该序列的某个连续子序列和。 断环为链。将a复制一份。 枚举a[i]为左端点的所有区间的和。再查找s是否存在。二分O&#x…...
CT dicom 去除床板 去除床位，检查床去除
1. 前言 医院拍摄患者CT与MRI 图像， 但是CT图像中就会出现检查床的区域，来看CT扫描设备是什么样子的，红色标出区域 可以在图中看到，在头部位置安装有固定头部的类似支架的东西，这个东西拍摄出来时什么样子呢ÿ…...
react 踩坑记 too many re-renders.
报错信息： too many re-renders. React limits the number of randers to prevent an infinite loop. 需求 tabs只有特定标签页才展示某些按钮 button要用 传递函数引用方式 ()>{} *还有要注意子组件内loading触发 导致的重复渲染...
YOLOv8与BiFormer注意力机制的融合：提升多场景目标检测性能的研究
文章目录 1. YOLOv8的改进背景2. BiFormer注意力机制的核心原理2.1 Bi-level Attention结构2.2 路由策略与加权融合 3. YOLOv8与BiFormer的结合3.1 YOLOv8架构概述3.2 BiFormer与YOLOv8的融合策略 4. 实现代码示例5. 结果分析与实验5.1 数据集与实验设置5.2 实验结果 6. 进一步…...
Ubuntu24.04LTS的下载安装超细图文教程（VMware虚拟机及正常安装）
😸个人主页👉：神兽汤姆猫 📖系列专栏：开发语言环境配置 、 Java学习 、Java面试 、Markdown等 学习上的每一次进步，均来自于平时的努力与坚持。 💕如果此篇文章对您有帮助的话，请点…...
c++贪心系列
各位小伙伴们新年好呀，这是年后的第一篇文章，那么还是一样，我们继续学习这个贪心算法。 第一题 题目链接 2418. 按身高排序 - 力扣（LeetCode） 题目解析 代码原理 方法一 1.先创建一个下标数组，将两个数…...
爬虫第七篇数据爬取及解析
这篇博客旨在分享学习过程中的心得和体会，如果有错误请指出，感谢大家。 经过前面的学习，那么我们也就进入了数据爬取的阶段，大家跟着我的步伐一起来学习一下，爬虫的数据爬取与数据解析（本篇主要针对于带有…...
LangChain 技术入门指南：探索语言模型的无限可能
在当今的技术领域，LangChain 正逐渐崭露头角，成为开发语言模型应用的强大工具。如果你渴望深入了解并掌握这一技术，那么就跟随本文一起开启 LangChain 的入门之旅吧！ (后续将持续输出关于LangChain的技术文章,有兴趣的同学可以关注…...
解锁D3.js与PlantUML的交互奥秘：探索知识图谱数据可视化新领域
解锁D3.js与PlantUML的交互魔法：数据可视化新征程 在前端开发的广袤天地里，数据可视化一直是一颗璀璨的明珠，吸引着无数开发者探索其奥秘。而当D3.js这一强大的JavaScript库，遇上专注于创建UML图的PlantUML，一场奇妙的…...
云计算——弹性云计算器（ECS）
弹性云服务器：ECS 概述 云计算重构了ICT系统，云计算平台厂商推出使得厂家能够主要关注应用管理而非平台管理的云平台，包含如下主要概念。 ECS（Elastic Cloud Server）：即弹性云服务器，是云计算…...
Leetcode 3577. Count the Number of Computer Unlocking Permutations
Leetcode 3577. Count the Number of Computer Unlocking Permutations 1. 解题思路2. 代码实现 题目链接：3577. Count the Number of Computer Unlocking Permutations 1. 解题思路 这一题其实就是一个脑筋急转弯，要想要能够将所有的电脑解锁&#x…...
质量体系的重要
质量体系是为确保产品、服务或过程质量满足规定要求，由相互关联的要素构成的有机整体。其核心内容可归纳为以下五个方面： 🏛️ 一、组织架构与职责 质量体系明确组织内各部门、岗位的职责与权限，形成层级清晰的管理网络…...
cf2117E
原题链接：https://codeforces.com/contest/2117/problem/E 题目背景： 给定两个数组a,b，可以执行多次以下操作：选择 i (1 < i < n - 1)，并设置 或，也可以在执行上述操作前执行一次删除任意 和 。求…...
如何为服务器生成TLS证书
TLS（Transport Layer Security）证书是确保网络通信安全的重要手段，它通过加密技术保护传输的数据不被窃听和篡改。在服务器上配置TLS证书，可以使用户通过HTTPS协议安全地访问您的网站。本文将详细介绍如何在服务器上生成一个TLS证…...
【JavaWeb】Docker项目部署
引言 之前学习了Linux操作系统的常见命令，在Linux上安装软件，以及如何在Linux上部署一个单体项目，大多数同学都会有相同的感受，那就是麻烦。 核心体现在三点： 命令太多了，记不住 软件安装包名字复杂&…...
全志A40i android7.1 调试信息打印串口由uart0改为uart3
一，概述 1. 目的 将调试信息打印串口由uart0改为uart3。 2. 版本信息 Uboot版本：2014.07； Kernel版本：Linux-3.10； 二，Uboot 1. sys_config.fex改动 使能uart3(TX:PH00 RX:PH01)，并让boo…...
ip子接口配置及删除
配置永久生效的子接口，2个IP 都可以登录你这一台服务器。重启不失效。 永久的 [应用] vi /etc/sysconfig/network-scripts/ifcfg-eth0修改文件内内容 TYPE"Ethernet" BOOTPROTO"none" NAME"eth0" DEVICE"eth0" ONBOOT&q…...
【实施指南】Android客户端HTTPS双向认证实施指南
🔐 一、所需准备材料 证书文件（6类核心文件） 类型 格式 作用 Android端要求 CA根证书 .crt/.pem 验证服务器/客户端证书合法性 需预置到Android信任库 服务器证书 .crt 服务器身份证明 客户端需持有以验证服务器 客户端证书 .crt 客户端身份…...
【51单片机】4. 模块化编程与LCD1602Debug
1. 什么是模块化编程 传统编程会将所有函数放在main.c中，如果使用的模块多，一个文件内会有很多代码，不利于组织和管理 模块化编程则是将各个模块的代码放在不同的.c文件里，在.h文件里提供外部可调用函数声明，其他.c文…...