### 简要描述: Srun3000计费系统 sql&GETSHELL 1 ### 详细说明: ``` /srun3/srun/web/douser.php case "checkip": $user->user_ip=$_POST["user_ip"];//注入变量 $user->user_login_name=$_POST["user_login_name"]; if($user->checkUserIp())//直接注入 { echo "ok"; } exit; break; function checkUserIp() { $sql = "SELECT COUNT(*) FROM user WHERE (user_ip='".$this->user_ip."' OR user_ip2='".$this->user_ip."' OR //可以看到直入接带入查询的 user_ip3='".$this->user_ip."' OR user_ip4='".$this->user_ip."') AND user_login_name!='".$this->user_login_name."'"; if($this->getNumber($sql)>0) return false; return true; } ``` ### 漏洞证明: 这个软件的GPC默认是关闭的,所有没有转义的话。。直接无条件注射 这个应该是在用户模块上 测试方法 x.com/douser.php POST action=checkip&user_ip=' 而且该系统是的数据库是root用户 也有root权限 可以直接利用Into outfile写出shell即可~
### 简要描述: Srun3000计费系统 sql&GETSHELL 1 ### 详细说明: ``` /srun3/srun/web/douser.php case "checkip": $user->user_ip=$_POST["user_ip"];//注入变量 $user->user_login_name=$_POST["user_login_name"]; if($user->checkUserIp())//直接注入 { echo "ok"; } exit; break; function checkUserIp() { $sql = "SELECT COUNT(*) FROM user WHERE (user_ip='".$this->user_ip."' OR user_ip2='".$this->user_ip."' OR //可以看到直入接带入查询的 user_ip3='".$this->user_ip."' OR user_ip4='".$this->user_ip."') AND user_login_name!='".$this->user_login_name."'"; if($this->getNumber($sql)>0) return false; return true; } ``` ### 漏洞证明: 这个软件的GPC默认是关闭的,所有没有转义的话。。直接无条件注射 这个应该是在用户模块上 测试方法 x.com/douser.php POST action=checkip&user_ip=' 而且该系统是的数据库是root用户 也有root权限 可以直接利用Into outfile写出shell即可~