漏洞說(shuō)明：

金和網(wǎng)絡(luò)是專(zhuān)業(yè)信息化服務(wù)商,為城市監(jiān)管部門(mén)提供了互聯(lián)網(wǎng)+監(jiān)管解決方案,為企事業(yè)單位提供組織協(xié)同OA系統(tǒng)開(kāi)發(fā)平臺(tái),電子政務(wù)一體化平臺(tái),智慧電商平臺(tái)等服務(wù)。金和OA C6 Jhsoft.Web.dailytaskmanage/XmlHttp.aspx 接口處存在XXE漏洞，未授權(quán)的攻擊者可以通過(guò)此漏洞讀取服務(wù)器上敏感文件或探測(cè)內(nèi)網(wǎng)服務(wù)信息，進(jìn)一步利用可導(dǎo)致服務(wù)器失陷

漏洞類(lèi)型：

XXE和數(shù)據(jù)注入

漏洞特征：

FOFA:app="金和網(wǎng)絡(luò)-金和OA"

滲透過(guò)程：

通過(guò)漏洞特征在FOFA找到目標(biāo)

通過(guò)POC進(jìn)行XXE注入，DNSLOG成功收到請(qǐng)求

通過(guò)POC進(jìn)行時(shí)間盲注，回顯時(shí)間>5

臨時(shí)修復(fù)建議：

1.暫時(shí)攔截對(duì) Jhsoft.Web.dailytaskmanage/XmlHttp.aspx 接口的訪問(wèn)請(qǐng)求，尤其是訪問(wèn)內(nèi)容包含數(shù)據(jù)庫(kù)操作執(zhí)行語(yǔ)句的請(qǐng)求； 

2.限制訪問(wèn)來(lái)源地址，如非必要，不要將系統(tǒng)開(kāi)放在互聯(lián)網(wǎng)上。

修復(fù)建議：

及時(shí)更新到最新版本

?

閱讀原文：https://mp.weixin.qq.com/s/h6ET4ucfn-Tgmxp8gQseyA