专业财税服务推荐

精选优质财税服务,为企业提供专业、可靠的财税解决方案,助力企业健康发展

零报税代理记账
零申报代理记账
报税做账算帐财务报表老会计做账
代理记账
咨询微信:lhy_happyday
工商营业执照年度年报年检公示
全国个体、企业、公司、合作社工商年审年报服务!
个体/10元/次 企业/20元/次
咨询微信:lhy_happyday
财税咨询服务
一对一专业财税咨询,解决企业财税难题,提供定制方案
咨询微信:lhy_happyday
财务分析服务
小规模个体报税0申报税务年报工商年报月报季报报税代理记账
咨询微信:lhy_happyday
立即咨询专业财税顾问
微信号: lhy_happyday
会计从业9年,管理多家个体工商、小规模、一般纳税人等企业的财务、税务等相关工作!。
扫码或搜索添加微信,备注"财税咨询"获取专属优惠
知方号 知方号

FineReport(帆软)报表系统目录遍历漏洞复现和用简易过滤器处理 帆软报表导出

FineReport(帆软)报表系统目录遍历漏洞复现和用简易过滤器处理

1.复现: 1.1直接通过浏览器访问以下地址

http://localhost:8080/WebReport/ReportServer?op=fs_remote_design&cmd=design_list_file&file_path=..¤tUserName=admin¤tUserId=1&isWebReport=true

1.2通过Postman

Postman下载地址:https://www.getpostman.com/downloads/

就可以任意查看服务器目录

 

2.处理 2.1写个过滤器

如果不想写这有现成的,但是要1个币(审核过就可以下载了):

https://download.csdn.net/download/qq_34078582/12060939

目录结构:

jdk早前版本不支持switch case 里用String。所以这用了if 

package com.fr.web;import javax.servlet.*;import java.io.IOException;import java.util.Enumeration;public class FRFilter implements Filter { @Override public void init(FilterConfig filterConfig) throws ServletException { } @Override public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException { boolean goAhead = true; Enumeration enumeration = req.getParameterNames(); while (enumeration.hasMoreElements()) { String paramName = enumeration.nextElement().toString(); String param = req.getParameter(paramName); if ("fs_remote_design".equals(param) || "design_list_file".equals(param)) { goAhead = false; } if ("cmd".equals(paramName) || "file_path".equals(paramName)) { goAhead = false; } if (!goAhead) { break; } } if (goAhead) { chain.doFilter(req, res); } } @Override public void destroy() { }}

打包:

这些包去掉。否则tomcat启动报错

build jar包

把这个复制出来

放到服务目录里:

..... omcatwebappsWebReportWEB-INFlib

然后修改一下WebReport的web.xml

把filter的内容加进去

...... ReportServer com.fr.web.ReportServlet 0 ReportServer /ReportServer FRFilter com.fr.web.FRFilter FRFilter /* .........

修复后响应

过滤后,目前没发现影响正常的报表打印,如果影响,可以把过滤参数的内容进行调整。

 

 

版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容, 请发送邮件至lizi9903@foxmail.com举报,一经查实,本站将立刻删除。