备战春招or实习？这些是不是你的困惑！不背八股能找到实习吗？搬砖小HR来招程序猿了，OD岗位，先听我说说～【请轻喷】简历真的就只看学历吗？学历不好的简历如何自救？Java学习路线总结考研二战华为od面经oppo和海康嵌入式软件工程师面经总结（已拿offer）大家硕士大论文进度咋样了？题解|#字符串加密#想问一下大家对于“offer集邮”的看法在银行科技部，你的时间是怎么废掉的华为还没oc先发的意向盘点下23届秋招薪资硕士毕业论文打卡#牛客在线求职答疑中心(35799)##牛客在线求职答疑中心#浪潮双非硕Java软件开发能开多少？ 三本应届，希望大家可以看看给个评价😞三本应届，希望大家可以看看给
备战春招or实习？这些是不是你的困惑！不背八股能找到实习吗？搬砖小HR来招程序猿了，OD岗位，先听我说说～【请轻喷】简历真的就只看学历吗？学历不好的简历如何自救？Java学习路线总结考研二战华为od面经oppo和海康嵌入式软件工程师面经总结（已拿offer）大家硕士大论文进度咋样了？题解|#字符串加密#想问一下大家对于“offer集邮”的看法在银行科技部，你的时间是怎么废掉的华为还没oc先发的意向盘点下23届秋招薪资硕士毕业论文打卡#牛客在线求职答疑中心(35799)##牛客在线求职答疑中心#浪潮双非硕Java软件开发能开多少？ 三本应届，希望大家可以看看给个评价😞三本应届，希望大家可以看看给
Smartbi电子表格软件又又又更新啦！此次更新，首次推出了新特性——Excel轻应用和语音播报。另外，还对产品功能、Demo示例、配套文档进行了完善和迭代。低代码开发Excel轻应用可实现迅速发布web应用业务用户的需求往往都处于“解决问题”，在没有低代码工具之前，任何需求都需要找IT解决，从而增加了企业的技术成本，然而绝大多数低代码平台都是云端运行的（从而保证较低的付费成本），一旦用户需要本地化部署，成本瞬间就会非常高，甚至远超IT开发的代价。Smartbi电子表格软件以“真Excel”为特色，使得我们一直在思考如何将Excel这个极其简单易用的工具充分利用好，帮助业务用户解决与数据相关的
2023年8月8日Smartbi官方又修复了一处权限绕过漏洞。该漏洞是上一个特定场景下设置Token回调地址漏洞的绕过，未经授权的攻击者可利用该漏洞，获取管理员token，完全接管管理员权限。于是研究了下相关补丁并进行分析。0x01分析过程阅读相关补丁，可知此次漏洞与/smartbix/api/monitor/setAddress有关是上一个漏洞的绕过，是发现了/smartbix/api/monitor/setAddress接口可以未授权设置SERVICE_ADDRESS、ENGINE_ADDRESS，只不过多了一步DES解密的过程(这个上次看的时候就发现了，但是由于将c_address、和u
2023年7月28日Smartbi官方修复了一处权限绕过漏洞。未经授权的攻击者可利用该漏洞，获取管理员token，完全接管管理员权限。于是研究了下相关补丁并进行分析。0x01分析结果依据补丁分析，得到如下漏洞复现步骤第一步，设置EngineAddress为攻击者机器上的http服务地址首先使用pythonflask搭建一个fakeserver，上面只注册了/api/v1/configs/engine/smartbitoken接口，该接口返回一个json响应体fromflaskimportFlask,jsonify,requestapp=Flask(__name__)@app.route(
漏洞简介通过查看Smartbi的补丁包信息，发现存在漏洞在某种特定情况下修改用户的密码，进行简单的复现和分析漏洞复现在页面上修改密码时，需要知道原本的用户对应的密码直接构造这样的数据包，就不需要知道原本的密码，知道用户名就可以修改密码POST/smartbi/vision/RMIServletHTTP/1.1Host:192.168.222.133:18080Content-Length:73Cache-Control:max-age=0If-Modified-Since:0User-Agent:Mozilla/5.0(WindowsNT10.0;Win64;x64)AppleWebKi
内置账号密码登录因为自己搭建的环境存在一些问题，可能是版本过高的原因，(奇奇怪怪的问题，用户没有权限)，所以目前仅仅做概念性验证，对漏洞的原理进行分析。在未登录的情况下访问接口 /smartbi/vision/RMIServlet我们可以比较明显的看到对应的处理类 CheckIsLoggedFiltersmartbi.freequery.filter.CheckIsLoggedFilter#doFilter从这里开始可能就是要进行比较详细的分析，首先是判断请求的路径是不是/vision/RMIServlet是的话进入这个分支，然后判断请求体中是不是有以 windowUnloading
Smartbi操作---绘制报表实现需求在需要向数据库中查询一些字段并绘制成一个Excel表格时，可以不需要经过后台写代码，直接通过在Smartbi中写SQL语句查询数据库，拿到数据填充到准备好的Excel模板中。前期准备安装Smartbi插件（需要office）安装好后Excel中会有相应的Smartbi模块。服务器设置一般公司会给出相应的url与url对应的后台地址主页具体步骤准备/绘制表格，用来安插数据库中查询来的数据。下图是我自己在Excel中绘制的表格绘制完表格之后点击发布，然后就可以在打开中看见你绘制的报表模板了准备好接受数据的表格模板后，就需要在后台去写SQL查询你需要的字段。右
Smartbi操作---绘制报表实现需求在需要向数据库中查询一些字段并绘制成一个Excel表格时，可以不需要经过后台写代码，直接通过在Smartbi中写SQL语句查询数据库，拿到数据填充到准备好的Excel模板中。前期准备安装Smartbi插件（需要office）安装好后Excel中会有相应的Smartbi模块。服务器设置一般公司会给出相应的url与url对应的后台地址主页具体步骤准备/绘制表格，用来安插数据库中查询来的数据。下图是我自己在Excel中绘制的表格绘制完表格之后点击发布，然后就可以在打开中看见你绘制的报表模板了准备好接受数据的表格模板后，就需要在后台去写SQL查询你需要的字段。右
