DM企业建站系统前台盲注

摘要

前台cookie 时间盲注 该套cms主要的安全措施为htmlentities，在POST&&GET的输入点做了html实体化的操作，但是这并不转义单引号（默认不转义单引号具体可看htmlentities），看了一下进行数据库查询的sql语句，涉及到字符串类型时，都是单引号闭合，那么很清楚，在进行数据库查询时容易产生sql注入漏洞。
那么接下来主要找一下进行数据库操作的位置。

POST&&GET
COOKIE
ps：这里就随便找了一个地方，因为这套系统注入不要太多，连后台登陆都可以

前面提到对POST&&GET做了实体转义，但是grep找了一下cookie，发现并没有对cookie的值进行安全操作，直接带入数据库查询。
indexDM_load.php Line 108

前台cookie 时间盲注

该套cms主要的安全措施为htmlentities，在POST&&GET的输入点做了html实体化的操作，但是这并不转义单引号（默认不转义单引号具体可看htmlentities），看了一下进行数据库查询的sql语句，涉及到字符串类型时，都是单引号闭合，那么很清楚，在进行数据库查询时容易产生sql注入漏洞。
那么接下来主要找一下进行数据库操作的位置。

POST&&GET
COOKIE
ps：这里就随便找了一个地方，因为这套系统注入不要太多，连后台登陆都可以

前面提到对POST&&GET做了实体转义，但是grep找了一下cookie，发现并没有对cookie的值进行安全操作，直接带入数据库查询。
indexDM_load.php Line 108

... if(@$_COOKIE["curstyle"]<>'')        $curstyle = $_COOKIE["curstyle"]; else      $curstyle = $row['curstyle'];      ... $sqlstyle = "SELECT * from ".TABLE_STYLE." where pidname='$curstyle' $andlangbh limit 1";   //echo $sqlstyle;exit; if(getnum($sqlstyle)>0){  $rowstyle = getrow($sqlstyle);

上述为漏洞的主要成因点，如果cookie中存在curstyle,优先选用cookie中的值，然后带入数据库查询。由于没有找到具体回显数据的地方，所以采用时间盲注的方式获取数据。

附上exp

作者0kami