文章预览
漏洞简介 漏洞描述： FinеRероrt 是帆软自主研发的企业级 Wеb 报表工具。其/view/ReportServer接口存在模版注入漏洞，攻击者可以利用该漏洞执行任意SQL写入Webshell，从而获取服务器权限。 影响范围： 1）JAR包时间在 2024-07-23 之前的FineReport11.*、10.*系列 2）JAR包时间在 2024-07-24 之前的、运维平台或Tomcat部署包部署的FineBI全版本 3）JAR包时间在 2024-07-24 之前的FineDataLink全版本 环境搭建 环境下载： https://www.finereport.com/product/download/redirect?version=windows_x64_10.0 =BKi7fGzRzhfm 环境版本： 10.0.19 远程调试： 在FineReport_10.0\bin\designer.vmoptions文件最后一行添加： -agentlib:jdwp=transport=dt_socket,server=y,suspend=n,address=5005 保存后重启designer.exe，如果需要进一步调试，需要重新编译class文件替换回对应jar包。 登录界面： 漏洞分析 定位到漏洞入口com.fr.web.controller.ReportRequestCompatibleServi
………………………………
