AI赋能漏洞挖掘案例分享1-某系统从sql到登录绕过再到后台getshell
GG安全
2026年10月14日 08:39
天津
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
以下文章来源于陌笙不太懂安全
，作者陌笙
陌笙不太懂安全
.
web安全知识分享,渗透测试,SRC,CTF,等优质内容分享学习！
免责声明
由于传播、利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号陌笙不太懂安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉，谢谢！
漏洞挖掘
某次渗透测试过程中，发现这个系统，看起来就老的一批
简单看看架构，框架是thinkphp
直接先打一手nday
多用两个工具试试，有可能一个工具，poc不够全，测试的也不够准
也可以用afrog试试
这里我试了，没有tp的nday
回归系统本身，雪瞳这里直接0接口
直接抓包看看登录接口
这里可以看到这个图形验证码，是前端校验，只要输入正确之后
后面就不会有这个图形验证码的限制，所以可以直接爆破弱口令
这个图形验证码前端检测，如果是项目上的话，本身也可以水一个低危漏洞，更神奇的是，某些src竟然也收，哈哈
我这里不爆破了，直接让AI搞，其他的一些图形验证码思路可以参考这个
然后ai开始库库发力
几分钟后报告出来了，我们开始复现
还是复现爽，复现几个危害高的，顺便看看他是怎么打的
ai打出来一个sql注入导致的登录绕过,其实这个我是试过的，可惜不太行
ai打出来的思路是
ThinkPHP 3.2.3 中因将用户可控的 account 参数以数组形式直接传入 where() 条件，攻击者通过 account[0]=exp&account[1]=or 1=1-- - 触发框架表达式查询分支，把任意 SQL 片段原样拼接进登录查询，从而注释掉口令校验实现免密登录（可登录管理员或指定 uid 用户），并借助 Debug 模式报错回显结合 extractvalue() 等报错注入外带数据库版本、账号、库名、表名及用户明文口令，形成「未授权 → 任意用户登录 → 全库数据泄露」的完整攻击链，属于可直接入侵系统的入口级 SQL 注入漏洞。
我们简单复现
首先正常抓包，然后把请求体，替换成这个，放包
account[0]=exp&account[1]=or+1=1--+-&password=x
直接以管理员的身份进入后台
问了一下ai，为啥登录框的万能密码，不可以直接干进去
解释是
输入框里直接打字打不进去——我补测了账号框和密码框的所有字符串型 payload（admin'、admin'#、密码框 x' or '1'='1、' or 1=1-- -），全部返回\"用户名或密码错误\"，无 SQL 报错。原因：这个注入点要求 account 参数以数组形式提交（account[0]=exp），普通表单永远只会发出 account=<字符串> 这种形式，字符串路径会被转义，而表单不可能产生数组参数——所以必须改参数结构，不是改输入内容。
这个框本身也有sql注入漏洞
继续深入测试，ai又发现
站点在静态资源目录下遗留了一整套第三方 jQuery 上传组件演示程序（路径 /Lib/uploadFile/，组件为 CreativeDream/php-uploader 0.2，目录内 readme.txt 自述出处），其中处理上传的 /Lib/uploadFile/php/upload.php 未做任何身份校验、也未限制文件扩展名，实测在完全不带 Cookie 的情况下以 multipart 字段 files[] 提交一个内容为 <?php echo \"SEC_TEST_RCE_EVIDENCE_9d31\"; ?> 的 PHP 文件即可上传成功，服务端响应会回显保存路径为 ../uploads/sec_test_rce2.p.php（保存目录 /Lib/uploadFile/uploads/ 可通过目录列表公开访问）；随后直接请求该文件 GET /Lib/uploadFile/uploads/sec_test_rce2.p.php，服务端返回体为 SEC_TEST_RCE_EVIDENCE_9d31（而非 PHP 源码文本），证明 Apache 的 PHP 处理器在 /Lib/uploadFile/uploads/ 目录下真实执行了上传的 PHP 代码，即攻击者在无任何账号的情况下获得服务器端任意代码执行能力，实测完成后已通过同目录的 remove_file.php 将测试文件删除并验证（404）。该上传点同时允许任意扩展名与任意内容，实际影响等同直接获得服务器控制权（可写入任意 webshell、读取数据库配置、横向渗透内网）。
继续复现，我这里直接搞个phpinfo,不传马子了
拼接路径进行访问，直接getshell，写报告，跑路跑路
太高效了，其实根本，不用手动测试，简单确认一下，这个站点的价值
如果有价值，直接ai梭哈就行，ai都干了，那我？？？
1►
福利放送
再次声明：本公众号及其发布的内容的使用者需自行承担由此产生的任何直接或间接的后果和损失，GG安全公众号和原文章作者不承担任何责任。
欢迎加入我们的安全技术交流群，后台回复进群加入交流群
edusrc邀请码 | 无问AI 积分兑换码
免费不限量提供edusrc邀请码及玄机邀请码，可在的菜单栏资源获取-edusrc邀请码 | 无问AI 积分兑换码中获取。
无问AI 积分兑换
广告：nisp1级2级低价报考
2►
往期精彩
edusrc高校证书测评
绝版乌云重现：在VM中复活的安全宝藏！
钓鱼佬永不空军！！看我如何社g搞定学姐继而接管站点全部权限
捡洞！有手就行的信息泄露
没手都行，小程序纯自动化捡洞工具
护网在即，自动化\"一键\"钓鱼工具
Wifi Pineapple（大菠萝）无线攻击
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论