2026-11-02 15:08:39 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

AI赋能漏洞挖掘案例分享1-某系统从sql到登录绕过再到后台getshell

Z2O安全攻防

2026年11月1日 21:37
北京

去阅读

以下文章来源于陌笙不太懂安全
，作者陌笙

陌笙不太懂安全
.

web安全知识分享,渗透测试,SRC,CTF,等优质内容分享学习！

免责声明

由于传播、利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号陌笙不太懂安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉，谢谢！

漏洞挖掘

某次渗透测试过程中，发现这个系统，看起来就老的一批

简单看看架构，框架是thinkphp

直接先打一手nday

多用两个工具试试，有可能一个工具，poc不够全，测试的也不够准

也可以用afrog试试

这里我试了，没有tp的nday

回归系统本身，雪瞳这里直接0接口

直接抓包看看登录接口

这里可以看到这个图形验证码，是前端校验，只要输入正确之后

后面就不会有这个图形验证码的限制，所以可以直接爆破弱口令

这个图形验证码前端检测，如果是项目上的话，本身也可以水一个低危漏洞，更神奇的是，某些src竟然也收，哈哈

我这里不爆破了，直接让AI搞，其他的一些图形验证码思路可以参考这个

然后ai开始库库发力

几分钟后报告出来了，我们开始复现

还是复现爽，复现几个危害高的，顺便看看他是怎么打的

ai打出来一个sql注入导致的登录绕过,其实这个我是试过的，可惜不太行

ai打出来的思路是

ThinkPHP 3.2.3 中因将用户可控的 account 参数以数组形式直接传入 where() 条件，攻击者通过 account[0]=exp&account[1]=or 1=1-- - 触发框架表达式查询分支，把任意 SQL 片段原样拼接进登录查询，从而注释掉口令校验实现免密登录（可登录管理员或指定 uid 用户），并借助 Debug 模式报错回显结合 extractvalue() 等报错注入外带数据库版本、账号、库名、表名及用户明文口令，形成「未授权 → 任意用户登录 → 全库数据泄露」的完整攻击链，属于可直接入侵系统的入口级 SQL 注入漏洞。

我们简单复现

首先正常抓包，然后把请求体，替换成这个，放包

account[0]=exp&account[1]=or+1=1--+-&password=x

直接以管理员的身份进入后台

问了一下ai，为啥登录框的万能密码，不可以直接干进去

解释是

输入框里直接打字打不进去——我补测了账号框和密码框的所有字符串型 payload（admin'、admin'#、密码框 x' or '1'='1、' or 1=1-- -），全部返回\"用户名或密码错误\"，无 SQL 报错。原因：这个注入点要求 account 参数以数组形式提交（account[0]=exp），普通表单永远只会发出 account=<字符串> 这种形式，字符串路径会被转义，而表单不可能产生数组参数——所以必须改参数结构，不是改输入内容。

这个框本身也有sql注入漏洞

继续深入测试，ai又发现

站点在静态资源目录下遗留了一整套第三方 jQuery 上传组件演示程序（路径 /Lib/uploadFile/，组件为 CreativeDream/php-uploader 0.2，目录内 readme.txt 自述出处），其中处理上传的 /Lib/uploadFile/php/upload.php 未做任何身份校验、也未限制文件扩展名，实测在完全不带 Cookie 的情况下以 multipart 字段 files[] 提交一个内容为 <?php echo \"SEC_TEST_RCE_EVIDENCE_9d31\"; ?> 的 PHP 文件即可上传成功，服务端响应会回显保存路径为 ../uploads/sec_test_rce2.p.php（保存目录 /Lib/uploadFile/uploads/ 可通过目录列表公开访问）；随后直接请求该文件 GET /Lib/uploadFile/uploads/sec_test_rce2.p.php，服务端返回体为 SEC_TEST_RCE_EVIDENCE_9d31（而非 PHP 源码文本），证明 Apache 的 PHP 处理器在 /Lib/uploadFile/uploads/ 目录下真实执行了上传的 PHP 代码，即攻击者在无任何账号的情况下获得服务器端任意代码执行能力，实测完成后已通过同目录的 remove_file.php 将测试文件删除并验证（404）。该上传点同时允许任意扩展名与任意内容，实际影响等同直接获得服务器控制权（可写入任意 webshell、读取数据库配置、横向渗透内网）。