whisper多商户客服系统存在前台SQL注入漏洞

admin 2025年4月27日17:09:19评论2 views字数 998阅读3分19秒阅读模式
whisper多商户客服系统存在前台SQL注入漏洞

点击上方蓝字关注我们 并设为星标

0x00 前言

    某兄弟向我求助一站,领导要求拿到后台权限,打开一看发现是二开的 whisper 多商户客服系统,搜索网络已知漏洞 发现有XSS+任意文件读取,但目标站点貌似修复了.
whisper多商户客服系统存在前台SQL注入漏洞
于是去网上找到源码 开始审计
whisper多商户客服系统存在前台SQL注入漏洞
whisper多商户客服系统存在前台SQL注入漏洞
框架:ThinkPHP 5.1.39 Debug:True

0x01 漏洞分析&复现

经过一番波折,在某处控制器模块下找到了SQL传参,且未加过滤的地方,但由于报错抑制,所以只能时间+布尔注入了
Payload:
whisper多商户客服系统存在前台SQL注入漏洞
whisper多商户客服系统存在前台SQL注入漏洞
完整Payload及whisper源码放文末自取!
如果文件读取洞还在,即可组合拳变为报错注入,需要写一个脚本,也是简单的.
收工 收工
whisper多商户客服系统存在前台SQL注入漏洞
去随便测了几个站,发现注入是通杀的噢,小0day啦.

0x02 知识星球

标签:代码审计,0day,渗透测试,系统,通用,0day,闲鱼,转转

完整POC及源码已放在知识星球中,需要可自取!!!

质量漏洞利用研究,代码审计圈子,每周至少更新三个0Day/Nday及对应漏洞的批量利用工具,团队内部POC,源码分享,星球不定时更新内外网攻防渗透技巧以及最新学习,SRC研究报告等。

【圈子权益】

1,一年至少999+漏洞Poc及对应漏洞批量利用工具

2,各种漏洞利用工具及后续更新,渗透工具、文档资源分享

3,内部漏洞库情报分享(目前已有150000+poc,会每日更新,包括部分未公开0/1day)

4,加入内部微信群,遇到任何技术问题都可以进行快速提问、讨论交流;

5Fofa API 高级会员Key共享

6,  高自动化代码审计工具共享

圈子目前价格为已涨价至129,现在星球有1000+位师傅相信并选择加入我们

网站源码及漏洞库已于2025.4.27日更新

whisper多商户客服系统存在前台SQL注入漏洞

whisper多商户客服系统存在前台SQL注入漏洞

Fofa 高级会员 Key

whisper多商户客服系统存在前台SQL注入漏洞
超多审计资料,自动化审计工具
whisper多商户客服系统存在前台SQL注入漏洞
whisper多商户客服系统存在前台SQL注入漏洞

whisper多商户客服系统存在前台SQL注入漏洞

圈子内部漏洞库(日更)

whisper多商户客服系统存在前台SQL注入漏洞

每篇文章均有完整指纹和详细POC

whisper多商户客服系统存在前台SQL注入漏洞

一起愉快地刷分

whisper多商户客服系统存在前台SQL注入漏洞whisper多商户客服系统存在前台SQL注入漏洞whisper多商户客服系统存在前台SQL注入漏洞

上千套审计源码,包括各种协同办公OA

入圈之后可私信我帮你开通永久VIP,已开通各大源码站VIP

whisper多商户客服系统存在前台SQL注入漏洞
whisper多商户客服系统存在前台SQL注入漏洞
高质量代码审计社区
whisper多商户客服系统存在前台SQL注入漏洞

标签:代码审计,0day,渗透测试,系统,通用,0day,闲鱼,转转

PS:关注公众号,持续更新漏洞文章

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,文章作者和本公众号不承担任何法律及连带责任,望周知!!!

原文始发于微信公众号(星悦安全):whisper多商户客服系统存在前台SQL注入漏洞

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2025年4月27日17:09:19
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   whisper多商户客服系统存在前台SQL注入漏洞https://cn-sec.com/archives/4007127.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉.

发表评论

匿名网友 填写信息