百易云资产管理系统 SQL注入漏洞(CVE-2025-1535)（附脚本）

免责申明：

本文所描述的漏洞及其复现步骤仅供网络安全研究与教育目的使用。任何人不得将本文提供的信息用于非法目的或未经授权的系统测试。作者不对任何由于使用本文信息而导致的直接或间接损害承担责任。如涉及侵权，请及时与我们联系，我们将尽快处理并删除相关内容。

0x01 产品描述：

        百易云资产管理运营系统是一款综合性资产管理平台，旨在帮助企业高效管理和优化资产生命周期。系统提供资产采购、维护、报废等全流程管理功能，并通过云端技术实现数据的实时同步与分析。用户可以轻松跟踪资产状态、生成报告，并进行预算控制，提升资产利用效率，降低运营成本。百易云以其智能化、自动化的特点，助力企业实现资产管理的科学化与精细化。

0x02 漏洞描述：

        百易云资产管理系统的界面中存在一个基于时间的 SQL 盲注漏洞。攻击者可以通过构造恶意参数来利用此漏洞，利用该函数诱发数据库作延迟、绕过安全机制以及提取敏感数据（如数据库名称和表结构）。此漏洞无需身份验证即可被利用，并