赛诸葛数字化智能中台系统 login SQL注入漏洞复现

0x01 产品简介

赛诸葛数字化智能中台系统是一款为企业级客户提供数智化转型升级的软件产品，旨在帮助企业实现推广、销售到服务、管理全链条的打通，形成一体化闭环式服务。系统以赛诸葛平台为基础，涵盖了CRM（客户关系管理）、SCRM（社会化客户关系管理）、ERP（企业资源计划）、OA（办公自动化）、BI（商业智能）、MES（制造执行系统）等一系列产品。这些产品包含但不限于广告、获客、销售、客户、订单、生产、库存、合同、财务、审批、人事、培训等管理运营工具和技术服务。

0x02 漏洞概述

赛诸葛数字化智能中台系统 login 登录接口存在SQL注入漏洞，未经身份验证的远程攻击者除了可以利用 SQL 注入漏洞获取数据库中的信息（例如，管理员后台密码、站点的用户个人信息）之外，甚至在高权限的情况可向服务器中写入木马，进一步获取服务器系统权限。

0x03 复现环境

FOFA：

body="static/index/image/login_left.png" || icon_hash="1056416905"