金和OA系统特征及漏洞探测利用

Web特征

默认icon图标：

fofa语法：app="金和网络-金和OA"、(app="金和网络-金和OA" || body="/c6") && (body="金和" || body="JHSoft")

URL 路径特征：

• 系统入口：通常以/c6或/jc6作为 URL 前缀，如http://example.com/c6
• 登录页面：/c6/Jhsoft.Web.login/PassWordSlide.aspx、/jc6/platform/sys/login!intro.action、/C6/JHSoft.Web.Login/PassWord.aspx
• 核心功能路径
  • 任务管理：/c6/Jhsoft.Web.dailytaskmanage/AddTask.aspx
  • 文件上传：/jc6/JHSoft.WCF/Attachment/UploadFileBlock
  • 系统配置：/c6/SAP_B1Config.aspx
  • 自定义查询：/c6/JHSoft.Web.CustomQuery/UploadFileDownLoadnew.aspx

旧版登录界面布局：

新版布局：

页面中存在一些web特征：

• 页面内容包含（可删除）版权信息：金和网络 ©2024 Jinher Software
• 标题通常为“协同管理平台”或“金和 OA C6”

网页结构中可以看到有关键字名称：JHSoft.xxxxx

存在账户默认规则：用户名 tc + 姓名缩写，初始密码 123456/000000/身份证后六位，但首次登录会要求修改密码，可能存在弱口令

漏洞探测工具