首页 » 网站攻防 » 浏览内容

某商城CMS存在文件上传漏洞与SQL注入漏洞

1159 2 发表评论

本文首发于:先知社区: 某商城文件上传漏洞与SQL注入漏洞

漏洞

定位到Application/Home/Controller/AppUploadController.class.php:

文件上传漏洞

接受到文件后,没有过滤的直接进行了move_uploaded_file

因此直接构造表单,以commentUpload为例:

直接上传phpinfo.php,之后访问 http://127.0.0.1/Uploads/show/phpinfo.php

官网demo

SQL注入漏洞

观察一下上面代码中的sql查询语句,在headerUpload函数中:

首先user_id是可控的。我们跟进tp的where方法,定义在 Core/Library/Think/Model.class.php:1783

此时传入的参数parse即可控的$user_id,然后通过vsprintf($where,$parse)将其格式化输出到where语句中。这里并没有严格的对数据类型进行检验,虽然前面存在escapeString的过滤,但只要不引入引号即可。

要进入该if判断中,需要满足!empty($find),也即数据库里已存在头像。因此可以先前台注册一个用户,登陆后在cookie字段获取到对应的user_id,如图所示user_id=275。

在个人资料处先上传一张头像

确保上传成功后。选择打开下面的exp.html上传,并抓包:

在user_id后添加payload,比如or updatexml(1,concat(0x7e,(user())),0)

查看sql日志:

标签:

评论 共 2 条 (RSS 2.0) 发表 评论

  1. 会员头像 血梦说道:

    这是cms

  2. 会员头像 学习者说道:

    慢慢学,仔细看

发表评论

  •   没有头像?

关注我们,实时联系

通知公告">更多...

♥如果喜欢本站可以直接点击订阅博客
♥点击此加入晓残博客会员群加入扣群
♥本站免费提供加密解密服务点击解密
♥如果你有意向广告合作点击广

站长微信

订阅博客

站内广告

博客统计

  • 日志总数:545 篇
  • 评论数目:2168 条
  • 标签总数:43 个
  • 页面总数:8 个
  • 分类总数:17 个
  • 友链总数:24 个
  • 建站日期:2011-02-13
  • 运行天数:2715 天
  • 最后更新:2018-6-28