【未公开】百择唯供应链存在SearchOrderByParams SQL注入漏洞
【未公开】百择唯供应链存在SearchOrderByParams SQL注入漏洞
原创 xioy 我吃饼干 2024-11-20 00:04
免责声明
-
本文所涉及的任何技术、信息或工具，仅供学习和参考之用。请勿利用本文提供的信息从事任何违法活动或不当行为。
-
任何因使用本文所提供的信息或工具而导致的损失、后果或不良影响，均由使用者个人承担责任，与本文作者无关。
-
作者不对任何因使用本文信息或工具而产生的损失或后果承担任何责任。
-
使用本文所提供的信息或工具即视为同意本免责声明，并承诺遵守相关法律法规和道德规范。
1
漏洞描述
百择唯供应链存在SearchOrderByParams SQL注入漏洞，未经身份验证的攻击者通过漏洞，执行任意代码从而获取到服务器权限。
2
漏洞复现
首页
需要注册账号，替换包内的Cookie
sqlmap验证
3
网络测绘
body=”/Content/Css/_SiteCss/”
4
漏洞POC
后台回复：241120
本文已同步至TNT文库
往期文章推荐
【技术分享】小程序Appid、AppSecret泄露漏洞总结
项
目
承
接
团队中的师傅们都来自国内安全厂商在职的一线工程师，均具有良好的职业素养与丰富的从业经验。
渗透测试
Web渗透、APP渗透、小程序渗透、内网渗透
CTF
培训、竞赛、解题、AWD竞赛服务
考证
NISP考证、CISP考证
TNT文库
所有文章第一时间会发布在文库中，文库中的内容全部免费开放。
访问密码每周都会更换，最新访问密码请在公众号的菜单栏：
资源获取-漏洞文库中获取。
edusrc邀请码
免费不限量提供edusrc邀请码，请在公众号的菜单栏：
资源获取-edusrc邀请码中获取。
END
点个「在看」 我的零食分你一半