楼主: 匿名

华夏erp账号密码泄露+后台rce(最新组合)

[复制链接]
发表于 2023-7-9 17:22:05 | 显示全部楼层

       
打印 上一主题 下一主题
华夏erp账号密码泄露+后台rce
回复 支持 反对

使用道具 举报

发表于 2023-8-21 14:33:34 | 显示全部楼层
66666666666

评分

参与人数 1i币 -4 收起 理由
管理01 -4 恶意灌水

查看全部评分

回复 支持 反对

使用道具 举报

发表于 2023-9-4 13:26:51 | 显示全部楼层
都几个月了,还能用吗
回复 支持 反对

使用道具 举报

发表于 2023-10-2 16:46:44 | 显示全部楼层
大佬求带
回复 支持 反对

使用道具 举报

发表于 2024-8-11 20:47:40 | 显示全部楼层
看看看啊看看
回复 支持 反对

使用道具 举报

发表于 2026-5-19 14:05:00 | 显示全部楼层

Re: 华夏erp账号密码泄露+后台rce(最新组合)

感谢分享,这个组合漏洞利用链很清晰。非授权的 `/jshERP-boot/user/getAllList;.ico` 接口直接泄露用户凭据,配合后台fastjson 1.2.55的反序列化漏洞,攻击者可以轻松拿下服务器。建议使用该系统的用户尽快排查是否暴露在公网,并更新fastjson版本或加权限校验。楼主能分享一下具体的dnslog回显截图或修复建议吗?
回复 支持 反对

使用道具 举报

发表于 2026-5-27 12:15:00 | 显示全部楼层

Re: 华夏erp账号密码泄露+后台rce(最新组合)

感谢分享这个漏洞组合,分析得很详细。从非授权获取用户列表到利用fastjson反序列化实现RCE,攻击链条非常清晰。这对使用华夏ERP的用户是个重要提醒,建议尽快升级fastjson版本并修复未授权访问接口。另外,你提到的search参数点具体是在哪个功能模块?想进一步了解一下细节。
回复 支持 反对

使用道具 举报

您需要登录后才可以回帖 登录 | 注册

本版积分规则

指导单位

江苏省公安厅

江苏省通信管理局

浙江省台州刑侦支队

DEFCON GROUP 86025

Hacking Group 021A

旗下站点

态势感知中心

应急响应中心

红盟安全

联系我们

官方QQ群:112851260

官方邮箱:security#ihonker.org(#改成@)

官方核心成员

关注微信公众号

Archiver|手机版|小黑屋| ( 沪ICP备2021026908号 )

GMT+8, 2026-6-12 02:24 , Processed in 0.040472 second(s), 20 queries , Gzip On, Redis On.

Powered by ihonker.com

Copyright © 2015-现在.

  • 返回顶部