熊海cms v1.0 SQL注入漏洞复现

漏洞描述：

熊海CMS是一款可广泛应用于个人博客，个人网站，企业网站的一套网站综合管理系统，熊海CMS存在SQL注入漏洞，攻击者可利用该漏洞获取数据库敏感信息。

漏洞利用条件:

程序对用户提交的参数未过滤直接拼接SQL语句中，导致特殊字符破坏了SQL语句原有的逻辑

漏洞影响范围：

熊海CMS 熊海CMS v1.0

漏洞复现：

1.用$user查找到login文件，通过$_POST的方式解释传参，没有经过任何的过滤进行用户校验，password通过md5加密方式对比数据库里面的密码

2.在登陆处测试SQL注入出现了报错语句：

利用报错注入爆出数据库：1' and (extractvalue(1,concat(0x7e,(select database()),0x7e))) #

表：1' and (extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema = database()),0x7e))) #

可以继续查看哪些地方有错误提示，可以尝试报错注入

修复建议：

1.对进入数据库的特殊字符（’”<>&*;等）进行转义处理，或编码转换

2.限制数据的长度

3.避免网站显示SQL错误信息，防止攻击者利用这些错误信息进行一些判断。

4.过滤危险字符，可采用正则表达式

学习过程，仅供参考

熊海cms v1.0 SQL注入漏洞复现相关推荐

代码审计系列：熊海CMS V1.0 （iseaCMS_1.0）
目录前言一.环境 1.用到的工具 2.搭建环境二.审计 1.文件包含 (1)index.php (2)admin/index.php 2.SQL注入 (1)admin/files/adset.p ...
熊海CMS 1.0代码审计漏洞集合
目录 SQL注入注入1 注入2 注入3 cookie注入注入5 XSS 反射型xss1 存储型xss2 反射型xss3 反射型xss4 存储型xss5 文件包含越权登录熊海CMS是由熊海开发的 ...
通达OA 11.5 SQL注入漏洞复现
0x00 漏洞描述通达OA 11.5存在sql注入 0x01 漏洞影响版本通达oa 11.5 0x02 漏洞复现 1.下载通达OA 11.5 https://cdndown.tongda2000. ...
kkcms前台sql注入漏洞复现
kkcms前台sql注入漏洞复现目录安装kkcms 漏洞复现安装kkcms 下载kkcms地址: https://github.com/https://github.com/ 浏览器访问主机ip ...
espcms5.7.13 sql注入漏洞复现
espcms5.7.13 sql注入漏洞复现作者: admin 时间: 2021-06-28 分类: 漏洞复现使用代码审计工具自动审计,找到select语句,双击进入/adminsoft/cont ...
php100漏洞,phpyun人才管理系统V5.0 SQL注入漏洞分析
*世界上最愚蠢的事莫过于我们无比狂热地做一件事,到最后却不知道为什么要做* cms背景介绍 PHP云人才管理系统(phpyun)是国内主流人才管理CMS系统之一!PHP云专为中文用户设计和开发,采用: ...
WeiPHP5.0 SQL注入漏洞1
本博客已搬迁至:https://n0puple.github.io/ 此处不再更新文章本文仅用于技术讨论与研究,文中的实现方法切勿应用在任何违法场景.如因涉嫌违法造成的一切不良影响,本文作者概不负责 ...
泛微OA e-cology WorkflowCenterTreeData前台接口SQL注入漏洞复现
漏洞描述泛微e-cology OA系统的WorkflowCenterTreeData接口在使用oracle数据库时,由于内置sql语句拼接不严,导致其存在sql注入漏洞影响范围使用oracle数 ...
宏景eHR SQL注入漏洞复现（CNVD-2023-08743）
0x01 产品简介宏景eHR人力资源管理软件是一款人力资源管理与数字化应用相融合,满足动态化.协同化.流程化.战略化需求的软件. 0x02 漏洞概述宏景eHR 存在SQL注入漏洞,未经过身份认证的 ...
畅捷通T+ SQL注入漏洞复现（QVD-2023-13612）
0x01 产品简介畅捷通 T+ 是一款基于互联网的新型企业管理软件,功能模块包括:财务管理.采购管理.库存管理等.主要针对中小型工贸和商贸企业的财务业务一体化应用,融入了社交化.移动化.物联网.电子 ...

熊海cms v1.0 SQL注入漏洞复现

熊海cms v1.0 SQL注入漏洞复现相关推荐

最新文章

热门文章