[ vulhub漏洞复现篇 ] Drupal＜7.32 Drupalgeddon SQL注入漏洞（CVE-2014-3704）

最新推荐文章于 2023-11-04 18:16:29 发布
最新推荐文章于 2023-11-04 18:16:29 发布
阅读量1.4k 收藏 2
点赞数
分类专栏： [ 靶场实战 ] vulhub 文章标签： vulhub漏洞复现 Drupal SQL注入 CVE-2014-3704 渗透测试 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_51577576/article/details/129070458
版权
本文介绍了Drupal CMS的CVE-2014-3704 SQL注入漏洞，详细展示了如何复现该漏洞，包括环境搭建、数据包分析、执行SQL语句来获取数据库信息及修改管理员密码，最后给出了漏洞修复建议。
摘要由CSDN通过智能技术生成

🍬 博主介绍

👨‍🎓 博主介绍：大家好，我是 _PowerShell ，很高兴认识大家~
✨主攻领域：【渗透领域】【数据通信】 【通讯安全】 【web安全】【面试分析】
🎉点赞➕评论➕收藏 == 养成习惯（一键三连）😋
🎉欢迎关注💗一起学习👍一起讨论⭐️一起进步📝文末有彩蛋
🙏作者水平有限，欢迎各位大佬指点，相互学习进步！

文章目录

一、漏洞编号

CVE-2014-3704

二、影响范围

Drupal < 7.32的7.x版本

三、漏洞描述

<
了解本专栏 订阅专栏 解锁全文 超级会员免费看
_PowerShell
关注
专栏目录
订阅专栏
[ vulhub漏洞复现篇 ] Drupal Drupalgeddon 2 远程代码执行漏洞（CVE-2018-7600）
qq_51577576的博客
02-18 657
[ vulhub漏洞复现篇 ] Drupal Drupalgeddon 2 远程代码执行漏洞（CVE-2018-7600） Drupal是使用PHP语言编写的开源内容管理框架（CMF），它由内容管理系统（CMS）和PHP开发框架（Framework）共同构成，在GPL2.0及更新协议下发布。连续多年荣获全球最佳CMS大奖，是基于PHP语言最著名的WEB应用程序。Drupal 6,7,8等多个子版本存在远程代码执行漏洞，攻击者可以利用Drupal网站漏洞，执行恶意代码，导致网站被完全控制。
利用Vulnhub复现漏洞 - Drupal 小于 7.32 “Drupalgeddon” SQL注入漏洞（CVE-2014-3704）
JiangBuLiu的博客
07-02 2278
Drupal < 7.32 “Drupalgeddon” SQL注入漏洞（CVE-2014-3704）Vulnhub官方复现教程漏洞原理复现漏洞启动环境漏洞复现 Vulnhub官方复现教程 https://vulhub.org/#/environments/drupal/CVE-2014-3704/ 漏洞原理 Drupal 是一款用量庞大的CMS，其7.0~7.31版本中存在一处无需认证的S...
【漏洞复现】Drupal_小于7.32版本 _“Drupalgeddon” SQL注入漏洞(CVE-2014-3704)
最新发布
过期的秋刀鱼
11-04 554
存在一处无需认证的SQL漏洞。通过该漏洞，攻击者可以执行任意SQL语句，插入、修改管理员信息，甚至执行任意代码。即可看到Drupal的安装页面，使用默认配置安装即可。Drupal 是一款用量庞大的CMS，其。Drupal 7.0~7.31版本。其中，Mysql数据库名填写。，数据库用户名、密码为。7.0~7.31版本。
Drupal漏洞复现：CVE-2019-6341
weixin_59086772的博客
12-30 2336
近期遇到Drupal漏洞，研究了一下，给大家分享一篇复现，望共鸣 前言： Vulhub是一个基于docker和docker-compose的漏洞环境集合，进入对应目录并执行一条语句即可启动一个全新的漏洞环境，让漏洞复现变得更加简单，让安全研究者更加专注于漏洞原理本身。 好哥哥，你等会，你刚才讲的docker我听了个大概，这docker-compose又是啥玩应啊？ docker-compose是用python写的一个docker容器管理工具，可以一键启动多个容器、可以一键日卫星。。。。。。假的假的，
Vulhub之“Drupalgeddon” SQL注入漏洞（CVE-2014-3704）
angry_program的博客
03-04 3636
简介 Drupal 是一款用量庞大的CMS，其7.0~7.31版本中存在一处无需认证的SQL漏洞。通过该漏洞，攻击者可以执行任意SQL语句，插入、修改管理员信息，甚至执行任意代码。 漏洞环境 进入对应的路径: vulhub-master/drupal/CVE-2014-3704 执行如下命令启动Drupal 7.31环境： docker-compose up -d 环境...
DRUPAL-PSA-CORE-2014-005 && CVE-2014-3704 Drupal 7.31 SQL Injection Vulnerability /includes/database...
weixin_34307464的博客
11-01 231
目录 1. 漏洞描述 2. 漏洞触发条件 3. 漏洞影响范围 4. 漏洞代码分析 5. 防御方法 6. 攻防思考   1. 漏洞描述 Use Drupal to build everything from personal blogs to enterprise applications. Thousands of add-on modules and designs l...
【春秋云镜】CVE-2014-3704
2301_78321656的博客
07-15 1973
Drupal是使用PHP语言编写的开源内容管理框架（CMF），它由由内容管理系统和PHP开发框架共同构成，在GPL2.0及更新协议下发布。Drupal 是一款用量庞大的CMS，其7.0~7.31版本中存在一处无需认证的SQL漏洞。通过该漏洞，攻击者可以执行任意SQL语句，插入、修改管理员信息，甚至执行任意代码。访问漏洞环境，寻找可以利用的点，发现有登录框并根据漏洞简介，猜测可能在此有SQL注入漏洞。构造注入payload放包，看到有报错回显，存在sql注入。
CVE-2014-3704 Drupal SQL注入漏洞
星落的博客
04-07 3847
目录 漏洞介绍 影响版本 环境搭建 漏洞复现 漏洞介绍 Drupal 是一款用量庞大的CMS，其中存在一处无需认证的SQL漏洞。通过该漏洞，攻击者可以执行任意SQL语句，插入、修改管理员信息，甚至执行任意代码 影响版本 7.0-7.31 环境搭建 1.切换到drupal相关目录下，部署docker环境 cd/root/vulhub/weblogic/CVE-2014-3704 docker-compose build docker-compose up -d 2...
drupalgeddon:针对 drupalgeddon SQL 注入漏洞的常见攻击向量和防御示例
07-08
#Drupalgeddon 示例 此存储库中包含的文件是在攻击期间对我的站点使用的文件的逆向工程版本。 在阅读更多信息 #说明 ##攻击文件 exploit.php ：主要的攻击文件。 这会注入一些 SQL 并安装 2 个后门。 deobfuscate.php ：仅供参考。 在exploit.php的第60行上传的文件的反混淆版本 execute-php.php ：必须与exploit.php结合使用。 一旦exploit.php 运行完毕， execute-php.php就可以用于在被利用的服务器上运行任何php。 inject-sql.php ：SQL 注入的独立客户端。 该文件可以单独使用，而无需运行任何其他文件。 uploader.php ：仅供参考。 在exploit.php的第175行获取的文件的本地版本 ##防御文件 secure_file_permissions.s
春秋云镜 CVE-2014-3704
qq_22002773的博客
09-17 461
春秋云镜 CVE-2014-3704
[春秋云镜]CVE-2014-3704
niubi707的博客
11-30 979
[春秋云镜]CVE-2014-3704 Drupal是使用PHP语言编写的开源内容管理框架（CMF），它由由内容管理系统和PHP开发框架共同构成，在GPL2.0及更新协议下发布。连续多年荣获全球最佳CMS大奖，是基于PHP语言最著名的WEB应用程序。 Drupal 是一款用量庞大的CMS，其7.0~7.31版本中存在一处无需认证的SQL漏洞。通过该漏洞，攻击者可以执行任意SQL语句，插入、修改管理员信息，甚至执行任意代码。
Drupal ＜ 7.32 “Drupalgeddon” SQL注入漏洞（CVE-2014-3704）
EC_Carrot的博客
05-27 428
漏洞背景 Drupal 是一款用量庞大的CMS，其7.0~7.31版本中存在一处无需认证的SQL漏洞。通过该漏洞，攻击者可以执行任意SQL语句，插入、修改管理员信息，甚至执行任意代码。 漏洞复现 该漏洞无需认证，发送如下数据包即可执行恶意SQL语句： POST /?q=node&destination=node HTTP/1.1 Host: your-ip:8080 Accept-Encoding: gzip, deflate Accept: */* Accept-Language: en User
漏洞复现-Drupal远程代码执行漏洞（CVE-2018-7602）
qq_45751902的博客
10-23 2233
的多个子系统中存在一个远程执行代码漏洞。这可能允许攻击者利用 Drupal 站点上的多个攻击媒介，从而导致该站点受到威胁。此漏洞与 Drupal 核心 - 高度关键 - 远程代码执行 - SA-CORE-2018-002 有关。SA-CORE-2018-002 和此漏洞都在野外被利用。-c 后面接命令，紧随账号，密码。
Drupal 远程代码执行漏洞（CVE-2019-6339）简单复现
小小猪的博客
11-15 1599
Drupal 远程代码执行漏洞（CVE-2019-6339）简单复现 漏洞简介： Drupal core是Drupal社区所维护的一套用PHP语言开发的免费、开源的内容管理系统。 Drupal core 7.62之前的7.x版本、8.6.6之前的8.6.x版本和8.5.9之前的8.5.x版本中的内置phar stream wrapper（PHP）存在远程代码执行漏洞。远程攻击者可利用该漏洞执行任意的php代码 影响版本： Drupal core 7.62之前的7.x版本、8.6.6之前的8.6..
CVE-2018-7600 Drupal 远程代码执行漏洞分析复现
yzl_007的博客
08-09 851
CVE-2018-7600 Drupal 远程代码执行漏洞分析复现 漏洞描述 Drupal是使用PHP语言编写的开源内容管理框架（CMF），它由内容管理系统（CMS）和PHP开发框架（Framework）共同构成 该漏洞的产生的根本原因在于Drupal对表单的渲染上,攻击者可以利用该漏洞攻击Drupal系统的网站，执行恶意代码，最后完全控制被攻击的网站 影响版本 Drupal 6.x Drupal 7.x Drupal 8.x 环境搭建 使用vulhub镜像环境docker-compose up -d 成
[CVE-2014-3704]Drupal 7.31 SQL注入漏洞分析与复现
weixin_30940783的博客
06-11 1417
记录下自己的复现思路 漏洞影响： Drupal 7.31 Drupal是一个开源内容管理平台，为数百万个网站和应用程序提供支持。 0x01漏洞复现 复现环境： 1)Apache2.4 2)Php 7.0 3)drupal 7.31https://www.drupal.org/drupal-7.31-release-notes(点击下载) 环境打包在目录下安装即可 ...
"drupal < 7.32 \"drupalgeddon\" sql injection vulnerability (cve-2014-3704)漏洞"
10-28
Drupal <7.32版本中存在一个名为“Drupalgeddon”的SQL注入漏洞，漏洞编号为CVE-2014-3704。 SQL注入是一种常见的网络安全漏洞，它允许攻击者通过在输入中注入恶意的SQL代码来干扰或绕过应用程序的数据库查询。在Drupal版本7.32以前，因为对用户输入的处理不完善，攻击者可以通过特殊构造的输入来执行恶意的SQL操作。 在Drupalgeddon漏洞中，攻击者可以利用这个漏洞来执行各种恶意的操作，包括获取敏感数据、篡改或删除数据库中的数据，甚至完全控制受影响的Drupal网站。 为了修复这个漏洞，Drupal开发团队推出了补丁程序，所有受影响的用户都被建议尽快升级到Drupal的7.32版本或更高的版本。升级到最新版本可以修复这个漏洞，并增强系统的安全性。 此外，通过使用Web应用程序防火墙（WAF）或其他安全性插件，可以进一步增强对SQL注入漏洞的保护。这些插件可以根据已知的攻击模式和行为规则来检测和阻止SQL注入攻击尝试。 总而言之，对于Drupal <7.32版本的用户，及时升级到最新版本，并采取额外的安全措施，是防止“Drupalgeddon” SQL注入漏洞被利用的关键步骤。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

_PowerShell

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值