### 简要描述：
Srun3000计费系统 sql&GETSHELL 1
### 详细说明：
```
/srun3/srun/web/douser.php
case "checkip":
$user->user_ip=$_POST["user_ip"];//注入变量
$user->user_login_name=$_POST["user_login_name"];
if($user->checkUserIp())//直接注入
{
echo "ok";
}
exit;
break;
function checkUserIp()
{
$sql = "SELECT COUNT(*) FROM user WHERE (user_ip='".$this->user_ip."' OR user_ip2='".$this->user_ip."' OR //可以看到直入接带入查询的
user_ip3='".$this->user_ip."' OR user_ip4='".$this->user_ip."') AND user_login_name!='".$this->user_login_name."'";
if($this->getNumber($sql)>0)
return false;
return true;
}
```
### 漏洞证明：
这个软件的GPC默认是关闭的，所有没有转义的话。。直接无条件注射
这个应该是在用户模块上
测试方法
x.com/douser.php
POST action=checkip&user_ip='
而且该系统是的数据库是root用户 也有root权限
可以直接利用Into outfile写出shell即可~
京公网安备 11010502034610号
暂无评论