0x01 产品简介。

明源房地产ERP是专门为房地产行业设计的企业资源规划（ERP）该系统旨在帮助房地产企业实现全面的信息管理，提高运营效率和管理水平。该系统涵盖项目管理、财务管理、供应链管理、客户关系管理（CRM）、通过整合企业的各个业务环节，实现信息的统一管理和高效协同，人力资源管理等多个核心功能模块。该系统在房地产行业具有高度的专业性和适用性，能够满足不同规模和类型企业的需求。适用于各类房地产企业，特别是需要项目管理和资金管理的企业。大型企业和中小企业都可以从明源房地产ERP系统中受益。例如，大型企业可以利用系统的全面性和集成性，实现复杂的业务流程管理和数据分析；中小企业可以根据自己的需要选择合适的功能模块，优化资源配置，提高运营效率。

0x02 漏洞概述。

ERP明源地产 VisitorWeb_XMLHTTP.aspx 接口中存在SQL注入漏洞，未经身份验证的恶意攻击者使用 SQL 除了注入漏洞获取数据库中的信息（如管理员的背景密码和网站用户的个人信息）外，攻击者甚至可以在高权限下向服务器写入命令，以进一步获取服务器系统的权限。

0x03 复现环境。

FOFA：

body="/_common/scripts/md5-min.js"。