1.X凌OA系统任意文件读取&SSRF+JNDI远程命令执行组合
2.ä¸è½¯çOAåå
¬ç³»ç»ï¼
3.OA需要会什么系统语言
4.siic/web/loginoa.jsp
X凌OA系统任意文件读取&SSRF+JNDI远程命令执行组合
深圳市蓝凌软件股份有限公司的数字OA(EKP)系统存在任意文件读取漏洞。攻击者能利用此漏洞获取敏感信息,并通过SSRF远程命令执行进一步攻击。在蓝凌OA的custom.jsp页面中,攻击者可以任意读取配置文件。在验证过程中,大漠输入字符源码通过读取默认密钥kmssAdminKey,攻击者能够解密登陆后台,尝试访问地址http://.0.0.1/admin.do实现成功登陆。随后,开发者需编写本地DES解密脚本来验证解密过程。若密钥长度过长,会产生错误信息,投票多选源码但发现仅取密钥前8位即可解决此问题。此外,利用JNDI-Injection构建ldap服务进行进一步攻击,可以通过GitHub资源或手动编译Java文件实现。在复现实验中,重点关注JDK和LDAPJava版本的消息滚动源码兼容性,以及正确启动RMI和LDAP服务的步骤。实验通过启动python web服务、exphttp服务以及ldap服务,实现攻击流程。实验成功后,攻击者获取的maven源码安装cookie可用于进一步操作,如DNSlog执行等。
ä¸è½¯çOAåå ¬ç³»ç»ï¼
ä¸ãOAåå ¬ç³»ç»å J2EEçå¼æ¾æ§ï¼OAå¹³å°æ¯æåç§æå¡å¨ãæä½ç³»ç»ãæ°æ®åºãä¸é´ä»¶ååºç¨è½¯ä»¶ãäºãOAå¹³å°éç¨æ åJ2EEç»æï¼ç±Javaè¯è¨å¼åï¼ç³»ç»é ç½®ç±XMLææ¯å®æï¼æ°æ®åºéç¨å ³ç³»åæ°æ®åºåéå ³ç³»åæ°æ®åºå离çææ¯ï¼åæ¶OAå¹³å°æ¯æå¤ç§å ³ç³»æ°æ®åºï¼ç³»ç»éè¿JDBCæå¡è¿æ¥æ°æ®åºï¼å¹¶ä½¿ç¨è¿æ¥æ± æé«ç³»ç»æ§è½ï¼éä¿¡åè®®éç¨HTTPãTCP/IPã
ä¸ãOAå¹³å°æ´ä¸ªåºç¨åå为ä¸ä¸ªç¸å¯¹å离çé»è¾å±ï¼æ¯ä¸å±é½æä¸å¥å®ä¹å¥½çæ¥å£ã第ä¸å±ä¸ºè¡¨ç¤ºå±ï¼æ¯å±ç°ç»å·¥ä½äººååç¸å ³ä½¿ç¨è çå¾å½¢çé¢ï¼å®å å«HTML表åãJava AppletãJSPçè½å¤æ¾ç¤ºæ°æ®çä»»ä½ç³»ç»ã该çé¢éè¿è§å®çå·¥ä½æµç¨åæ¥å£æ¥å®ææ¥å¸¸çäºå¡å¤çåä¸å¡æµç¨ã
åãOAå¹³å°çä¸é´å±ï¼åºç¨é»è¾å±ï¼æ¯ä½¿ç¨è 为äºè·åæ°æ®éè¦ï¼éè¿è¡¨ç¤ºå±ï¼è°ç¨ç代ç ã表示å±æ¥æ¶å°æ°æ®åæå®æ ¼å¼å并æ¾ç¤ºåºæ¥ãOAå¹³å°çè¿ç§åºç¨é»è¾ä¸ç¨æ·çé¢çå离æ大çæé«äºåºç¨è®¾è®¡ççµæ´»æ§ãOAå¹³å°çå¯ä»¥å¨ä¸æ¹ååºç¨é»è¾çæ åµä¸éç¨ä¸åçå¾å½¢ç¨æ·çé¢ï¼åªè¦åºç¨é»è¾å±ç»è¡¨ç¤ºå±æä¾æç¡®å®ä¹çæ¥å£å³å¯ã
äºãOAå¹³å°çä¸é´å±å©ç¨Javaè¯è¨ï¼ä»¥ServletåBeansçææ¯å®ç°ï¼å ¶è¡¨ç°å½¢å¼ä¸ºç»ä»¶å ï¼å³ç±»åºå½¢å¼ãå°ç¨æ·ç®¡çãä½å±æ°æ®è®¿é®ãæ°æ®ä¼ è¾ä»¥åæ°æ®åæçå ·ææ½è±¡éåºæ§çåè½çè¿è¡å°è£ ï¼æç §åè½ãé»è¾å使ç¨çä¸åæ¹é¢å®ä¹è¥å¹²ä¸ªç»ä»¶å ï¼å°å ¶ç»ä¸è§èä¸ºæ ¸å¿APIï¼Core APIï¼ï¼ä¸ºä¸å±éæ访é®æä¾æ¸ æ°æç¡®çæ¥å£ã
å ãå¨æ´ä¸ªOAå¹³å°åºç¨ä¸ï¼ä¸é´å±èµ·çé常éè¦çä½ç¨ï¼ä¸»è¦å æ¬å®å ¨ç³»ç»ãåºç¨ä½ç³»åææ¯å¹³å°çå é¨åãå®åä¸é¢æä»ç»çæ°æ®å±ä¸èµ·ææäºåå ¬ç³»ç»å·¥ä½çåºç¡ã
ä¸ãOAå¹³å°çåºå±ä¸ºæ°æ®å±ï¼å³æ°æ®ä¸å¿ãå®ç¨æ¥å®æç»ä¸çæ°æ®ç®¡çåæ°æ®äº¤æ¢æ¥å£çå®ç°ã主è¦å æ¬åå ¬ä¿¡æ¯åæ°æ®ç管çåç»´æ¤ãæ°æ®äº¤æ¢ãæ°æ®æ½å以åæ°æ®è¿æ»¤çåè½ã
å «ãæ´ä¸ªOAå¹³å°ä¸ï¼é¨ç½²äºæ°æ®å¼æãæ¶æ¯å¼æãé¨æ·å¼æåå·¥ä½æµå¼æï¼æç³»ç»æ¨ªåå纵åè¿è¡äºå¤ç»´åº¦çæéå贯穿ï¼ä»è使å¾åå¤ç«çæ件å模åæ为ä¸å¥ææºççæç³»ç»ã
OA需要会什么系统语言
通达的OA,流行的是PHP开发的,我想你说的应该就是这个,另外也有JAVA开发的,例如T9不过很少。结婚喜帖源码
如果做维护或是二次开发,PHP是你必须要掌握的。
此外,html和css、div也得涉及,不过不是核心。
当然你制作工作流的表单主要还是HTML,但那很简单。
还有一点,不知道你公司的OA是什么版本的,因为版本不同,源码开放程度也是不同,
因此,如果你要维护的话,那你面对的大部分都是加密的代码,无从维护。
如果是二次开发,通达官网上有二次开发手册,可以下载来研究一下。
siic/web/loginoa.jsp
å°ååçä¸å¯¹ï¼ä»¥httpå¼å¤´ï¼ç¶åhttpåé¢å åå·ï¼åå ä¸åææ //ï¼ä¾å¦ï¼http://ï¼ç¶ååipå°åï¼ç¶åipå°ååé¢è¦å 端å£å·ï¼ç«¯å£å·åé¢åå ææ ï¼ä¸è¬ç«¯å£å·ä¸ä½¿ç¨ï¼å®¹æèµ·å²çªï¼ç¶åååèæç®å½ï¼ç¶åååå ·ä½ç页é¢å°åãè¿æ ·é½åèµ·æ¥ææ¯ä¸ä¸ªæ åçweb访é®å°åã