当前位置:网站首页 >更多 >web > 正文

[黑客技术] XYCMS留言板V1.7代码审计

作者:蓝扬日期:2019-09-23 分类:web

官网page:http://www.jsxyidc.com/
YCMS留言板是以php+MySQL进行开发的php留言板源码,软件为普通的留言板可广泛应用于企业网站等需要留言板的网站中进行使用。
下载地址:http://down.chinaz.com/soft/37797.htm

1.存储性XSS漏洞

说明:由于对于用户的输入没有过滤导致JS代码运行
标题、内容、用户(姓名)以及IP

2.验证:

A.用户留言:

B.管理员审核:

执行三次alert();

C.审核通过后,即可展示在前台:

http://www.test.com:81/index.php

D.GetIp()函数直接返回

3.总结

在获取IP的时候管理员登陆会写入数据库,貌似可以SQL注入~

当然XSS也是存在的完全没过滤~


 

取消回复欢迎 发表评论:

请填写验证码
享受更多资源下载可加入本站VIP会员!登录注册
登录
用户名
密码
注册
用户名
密码
确认密码
昵称
邮箱
QQ
验证码
找回密码
用户名
邮箱
※ 重置链接将发送到邮箱
请先 登录 再评论,若不是会员请先 注册