记某市某管理系统SQL注入漏洞

前言

近日在谷歌引擎查找到一个站点。是某市的某报到系统。漏洞已经上报CNVD，这里就当是记录分享了。

过程记录

1.进来是一个管理员登陆入口，进去了之后尝试用一些弱口令进行登录。无果，这里就暂时放弃暴力破解。尝试寻找其他突破口。

2.进入网站的主界面，有一处查询框。一般这样的搜索查询框可能会有SQL注入。

3.尝试能不能进行SQL注入。直接随便输入，然后在后面加上单引号进行验证。果然不出所料报错了，报错信息可以看出是access数据库，真让人头大。

4.由于url上没有明确显示可以注入的参数，怀疑可能是POST传参，于是打开Burp抓包看看。

5.是GET类型的传参，只是被隐藏了。直接使用工具sqlmap进行注入。首先是简单查询一些服务器的信息。确定能够进行SQL注入。这里保险起见，加上了“delay”参数。
SqlMap语句：
python sqlmap.py -u “http://XXXX//report/reportsearch.asp?XXXX&username=admin&XXXX” --delay 1 --batch