74cms v4.2.126-通杀sql注入

注：这个漏洞需要在有职位数据的情况下，才能利用。正式环境中，因为都是有数据的所以直接注入即可。不过因为我们是测试环境所以需要我们自己添加一些数据来保证网站的正常运行

登录完毕以后跳转到： http://74cms.test/index.php?m=&c=company&a=com_info

设置商家信息

然后跳转到： http://74cms.test/index.php?m=&c=Company&a=jobs_add

随便发布一条工作消息即可

一样的前台注册需要短信，我穷，付不起短信费

注册完成以后登录前台即可

注：一定要登录，因为数据量太少，不登录，过不去验证

然后输入地址：

http://74cms.test/index.php?m=&c=jobs&a=jobs_list&lat=23.176465&range=20&lng=113.35038%27

注：x，y 不超过 1即可

详情页new BMap.Point 搜索出来的值就是 x，y 值

可能上面的内容有人会觉得奇怪，就是这个url实战中你是怎么获得的？其实你可以这样。

Payload: http://74cms.test/index.php?m=&c=jobs&a=jobs_list&lat=23.176465&range=20&lng=113.35038* PI() / 180 - map_x PI() / 180) / 2),2))) 1000) AS map_range FROM qs_jobs_search j WHERE (extractvalue (1,concat(0x7e,(SELECT USER()), 0x7e))) -- a

剩下的自己注 :)

老样子一步步分析吧。

先从地址开始分析

地址： http://74cms.test/index.php?m=&c=jobs&a=jobs_list

典型的mvc结构

m 层可以看到为空，我们可以打开目录

74cms\upload\Application\Common\Conf\config.php 查看DEFAULT_MODULE 参数

因此可以确定

M = home

C = jobs

A = jobs_list

翻译一下的意思就是 Home 目录 下面的jobs 文件里面的jobs_list 方法

跟进去

跟进来以后，发现我们的lng 参数并没有在jobs_list 方法，但是在外部的时候的却是这个类。

这是因为74cms 使用了 thinkphp 的 tag 也就是标签库驱动 。

所以我们在这里并没有看到相关的代码快，因为他是直接嵌了V层中执行也就是我们常说的视图层。

想了解这一块的

上官网下载thinkphp3.2手册 搜索tag

即可获得详细信息

跟进视图层进行查看

找到了视图文件：

74cms\upload\Application\Home\View\default\Jobs\jobs_list.html

根据图中的条件可得知具体目录名为

74cms\upload\Application\Common\qscmstag\jobs_listTag.class.php

为了不浪费大家的时间，我就尽量选重点讲，避免浪费大家时间!

这里我们需要了解一下。

首先是我们可外部控制的值

知道这个接口，我们继续注入点，因为前面的东西有太多和我们的这个注入无关的东西了所以我们忽略掉

我上图中还圈出来的第二个圈圈，可以看到 $this->params[lat] 与 $this->params[lng] 赋值并且没有过滤给了$this->field 而大部分的 php 框架在 field 可控制的情况下大部分都是有注入问题的，所以这里我基本可以通过经验确定，只要带入了进行查询那就是一个注入漏洞。

这里的构造方法知道这些即可，其他的都不是很重要

这里我们打印一下，最终处理的内容

好了知道这些前置条件以后我们继续。

在执行完这个构造函数以后，还会自动的执行run() 方法