某shop API接口前台注入(通杀3X)

时间:2019-08-15  点击次数:   

  TPshop是国内应用范围大、覆盖面广的电商软件产品,基于此,历经5年的时间,而发展成为国内先进的具备成熟且标准化的电商平台技术解决方案提供商。“TPshop” 的每一次新产品发布都引带头中国电商软件研发领域的潮流,持续为中国电子商务服务行业。同时公司建立了由多名科学家构成的行业及技术研究中心,对电商行业发展趋势、软件产品架构、技术性、新技术应用与创新等都做出了卓越贡献。

  TPshop是国内应用范围大、覆盖面广的电商软件产品,基于此,历经5年的时间,而发展成为国内先进的具备成熟且标准化的电商平台技术解决方案提供商。“TPshop” 的每一次新产品发布都引带头中国电商软件研发领域的潮流,持续为中国电子商务服务行业。同时公司建立了由多名科学家构成的行业及技术研究中心,对电商行业发展趋势、软件产品架构、技术性、新技术应用与创新等都做出了卓越贡献。

  通过代码分析后发现$field传入方法field中,并不会将这个变量中的值预编译,而是直接带入中执行,接着来调试!在399行后添加代码如下:

  getlastsql方法在tp框架中是返回SQL语句也可以说是监听,接着往下走,访问

  可以看到程序已经抛出了异常,MySQL执行错误,最终Payload如下:

  以上文章是一个朋友投稿给我们,感兴趣的朋友,可以扫码关注下:返回搜狐,查看更多www.25777.com