漏洞名称
Victor CMS 未授权sql注入
漏洞等级
高危
爆发时间
2020-11-27
漏洞简介
Victor CMS是一个简单的内容管理系统。
Victor CMS存在SQL注入漏洞。攻击者可利用漏洞获取数据库敏感信息。
影响版本
The Victor CMS v1.0
漏洞复现
这里用的是云演的在线环境，这个漏洞的环境是免费的
打开漏洞环境，根据漏洞描述，漏洞应该存在于search搜索框
用burp抓搜索框的包，发现是传入的是post参数search
单引号报错
加上注释后页面返回正常，确认存在sql注入漏洞
直接上sqlmap查数据库
python sqlmap.py -r C:\Users\dell\Desktop\3.txt --dbs
漏洞利用成功，其他的就不查了，就是走流程的事。
防御方式
更新系统，修复逻辑处理
