# PbootCMS 3.0.4 SQL注入漏洞?btwaf=33581893
## 漏洞描述
PbootCMS是全新内核且永久开源免费的PHP企业网站开发建设管理系统,是一套高效、简洁、 强悍的可免费商用的PHP CMS源码,但存在SQL注入漏洞,攻击者可构造恶意语句进行获取敏感数据。
## 漏洞影响
> PbootCMS3.0.4
## FOFA
> app=”PBOOTCMS”
## 源码分析
漏洞代码位置:
“`
core\basic\Model.php
“`

当传递的参数$where是一个数组时就遍历数组,当$where是一个索引数组时则:$where_string.=$value。
接下来找到“$where”函数中要传递的代码为索引数组时的代码:
“`
apps\home\controller\ParserController.php
“`
在“parserSearchLabel()”方法中,传入的数据被分配到变量“$receive”进行遍历,“$key”被带入“request()”进行过滤。









通过上述方法传入索引数组的值只能包含中文、字母、数字、水平线、点、逗号和空格!它由“htmlspecialchars()”和“addslashes()”编码。
最后,它被传递到“$where3”。



“getlists()”中的“$where3”是可控的,它将以“and”的形式进入语句,所以最终造成了SQL注入。
## 本地复现
默认数据库是sqlite。为了测试方便,我们需要用mysql数据库替换默认数据库。
mysql数据库目录:
“`
pbootcms\static\backup\sql\0cb2353f8ea80b398754308f15d1121e_20200705235534_pbootcms.sql
“`

接下来,我们以POST的形式发送索引数组,还记得源码里数组中的值要以“and”的形式进入“where”条件:

当条件为真时:


当条件为假时:

有效载荷:
由于数据经过过滤,因此只能使用“正则表达式”进行常规匹配。
例如:“用户名=管理员”可以表示为“用户名regepx 0x5E612E2A”,其中“5E612E2A”是“^ a”的十六进制代码。


就可以获得管理员的账号密码了。
请登录后查看评论内容