PbootCMS_3.0.4_SQL注入漏洞_btwaf=33581893

# PbootCMS 3.0.4 SQL注入漏洞?btwaf=33581893

## 漏洞描述

PbootCMS是全新内核且永久开源免费的PHP企业网站开发建设管理系统，是一套高效、简洁、 强悍的可免费商用的PHP CMS源码，但存在SQL注入漏洞，攻击者可构造恶意语句进行获取敏感数据。

## 漏洞影响

> PbootCMS3.0.4

## FOFA

> app=”PBOOTCMS”

## 源码分析

漏洞代码位置：

“`
core\basic\Model.php
“`


当传递的参数$where是一个数组时就遍历数组，当$where是一个索引数组时则：$where_string.=$value。

接下来找到“$where”函数中要传递的代码为索引数组时的代码：

“`
apps\home\controller\ParserController.php
“`

在“parserSearchLabel()”方法中，传入的数据被分配到变量“$receive”进行遍历，“$key”被带入“request()”进行过滤。










通过上述方法传入索引数组的值只能包含中文、字母、数字、水平线、点、逗号和空格！它由“htmlspecialchars()”和“addslashes()”编码。
最后，它被传递到“$where3”。




“getlists()”中的“$where3”是可控的，它将以“and”的形式进入语句，所以最终造成了SQL注入。

## 本地复现

默认数据库是sqlite。为了测试方便，我们需要用mysql数据库替换默认数据库。
mysql数据库目录：

“`
pbootcms\static\backup\sql\0cb2353f8ea80b398754308f15d1121e_20200705235534_pbootcms.sql
“`


接下来，我们以POST的形式发送索引数组，还记得源码里数组中的值要以“and”的形式进入“where”条件：


当条件为真时：



当条件为假时：


有效载荷：
由于数据经过过滤，因此只能使用“正则表达式”进行常规匹配。
例如：“用户名=管理员”可以表示为“用户名regepx 0x5E612E2A”，其中“5E612E2A”是“^ a”的十六进制代码。



就可以获得管理员的账号密码了。