DamiCMS SQL注入分析

最新推荐文章于 2023-06-12 21:50:29 发布

Cllmsy_K

最新推荐文章于 2023-06-12 21:50:29 发布

阅读量767

点赞数 1

分类专栏：代码审计文章标签： sql php 数据库

本文链接：https://blog.csdn.net/weixin_47533648/article/details/128988990

版权

代码审计专栏收录该内容

4 篇文章 0 订阅

订阅专栏

2023年将会持续于B站、CSDN等各大平台更新，可加入粉丝群与博主交流:838681355，为了老板大G共同努力。

一、入口文件(单入口文件模式)

看一下Index.php文件代码：引入了php_safe.php文件
在这里插入图片描述
查看一下php_safe.php防御文件：

对变量 $err n o /$ errfile/$errline用了个自定义处理函数set_error_handler做处理：

做一下分析：
'                                     --过滤单引号
(and|or)\\b.+?(>|<|=|in|like)             --过滤and/or/</>/=/in/like
\\/\\*.+?\\*\\/                         --过滤/ * 
<\\s*script\\b                          --过滤script
\\bEXEC\\b                            --过滤EXEC
UNION.+?SELECT                        --过滤union select
UPDATE.+?SET                          --过滤 update
INSERT\\s+INTO.+?VALUES                --过滤insert into values
(SELECT|DELETE).+?FROM                --过滤select/delete from
HEX(\\s+)?\(.+?\)|IF(\\s+)?\(.+?\)          --过滤hex编码
SLEEP(\\s+)?\(.+?\)                     --过滤sleep
USER(\\s+)?\(.+?\)                     --过滤user
(CREATE|ALTER|DROP|TRUNCATE)\\s+(TABLE|DATABASE) --过滤create/alter/drop/truncate/table/database

对get/post/cookie也做了处理：
在这里插入图片描述

二、漏洞位置定位

C:\phpstudy_pro\WWW\damicms\Web\Lib\Action\ApiAction.class.php 万能获取数据接口
在这里插入图片描述
方法ajax_arclist中，使用了REQUEST传输方式，在65、69、71处有SQL交互，关键变量： $or d or /$ where/ $n u m /$ field，查看是否可控：

查看一下过滤函数文件：C:\phpstudy_pro\WWW\damicms\Core\Common\functions.php
防SQL：

防XSS：
在这里插入图片描述

原生SQL：SELECT id,name FROM think_user limit 10
构造写法:$User->where(‘status=1’)->field(‘id,name’)->order(‘id desc’)->limit(5)->select();
生成SQL：SELECT id,name FROM think_user WHERE status=1 order by id desc limit 5
Payload：http://localhost/test0/index.php?s=/api/ajax_arclist/model/article/field/username,userpwd from admi_member%23