北京时空智友科技有限公司企业流程化管控系统存在SQL注入漏洞（2024-新）

原创 Secu的矛与盾 Secu的矛与盾 2024-12-14 03:06

漏洞描述

北京时空智友科技有限公司是一家经营范围包括技术开发、技术推广、技术转让、技术咨询、技术服务等的公司。
北京时空智友科技有限公司企业流程化管控系统存在SQL注入漏洞，攻击者可利用该漏洞获取敏感信息。

测绘语法：

fofa-query: 'body="时空智友企业信息管理"'
360-query: 'favicon: "2464cbce5dd2681dd4fb62d055520d78"  or  body:"/common/login/bootstrap/css/bootstrap.min.css?v=1"'

该漏洞存在于com.qy960.service.IndexService

idea直接查找

看看这个方法

var9是获取用户请求中json格式的参数 id拼接到sql语句中，无任何过滤或验证

2023年公开的另一个注入点：

https://mp.weixin.qq.com/s/-gOIOQ3K2lbsllncwvfrUg

免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。

POC文本后台留言“时空智友2024”