网络优化

嘀嗒团SQL注射漏洞及修复方案

2019年09月12日 热度:552 ℃
1,http://beijing.didatuan.com/team/?addr=%E6%8A%A0%E6%8A%A0%E7%BD%91从在sql注射
2,http://www.didatuan.com/admin 后台地址,而且没有验证码
通过sql注射可以获取用户资料(电话,手机,邮箱等信息),还有可能获取管理帐号密码(没有进一步测试),即使获取密码无法解密,还有可能得到邮箱,用户名等其他信息用来社工.后台地址暴露且没有验证码(虽然有验证码不一定能防止暴力猜解,但总比没好吧),有可能通过暴力猜解后台帐号或者通过社工等其他手段进入后台
漏洞证明:

修复方案:
 
麻烦能尊重一下,多考虑一下用户的利益
 

分享给朋友:

相关文章

php中用PDO查询Mysql避免SQL注入示例和应注意的地方

php中用PDO查询Mysql避免SQL注入示例和应注意的地方

当我们使用传统的 mysql_connect 、mysql_query方法来连接查询数据库时,如果过滤不严,就有SQL注入风险,导致网站被攻击,失去控制。虽然可以用mysql_real_...

分析WordPress 3.8.2修復的cookie伪造漏洞

分析WordPress 3.8.2修復的cookie伪造漏洞

4月8日,wordpress發布了一個重要更新,在該次更新中,修復了一系列安全漏洞。其中最顯眼的就是cookie伪造漏洞(CVE -2014- 0166)。‍‍‍...

OneForum SQL的注射漏洞及其修复方法

OneForum SQL的注射漏洞及其修复方法

标题: OneForum SQL Injection Exploit 作者: Cyber-sec 下载地址: http://www.onescripts.de/download/go...

Openvz VPS Iptables进行端口转发

Openvz VPS Iptables进行端口转发

openvz 的vps 一般都是不支持MASQUERADE的,這個是由於內核問題,在VPS管理沒有升級內核的情況下進行轉發可以按照如下辦法。 例如:將IP 1.1.1.1 的7788端...

Umbraco CMS远程命令执行缺陷

Umbraco CMS远程命令执行缺陷

require 'msf/core' class Metasploit3 < Msf::Exploit::Remote Rank = Excell...

多多淘宝客7.4 SQL注入漏洞及其修复方法

多多淘宝客7.4 SQL注入漏洞及其修复方法

下了7.4 3月20号之前的代码,注入确实没修,还是huangou.php $id =$_GET['id']; $good=sel_sql('dhlist&#...

ShyPost企业网站管理系统v8.3两个注入附exp及修复

ShyPost企业网站管理系统v8.3两个注入附exp及修复

显示不全请点击全屏阅读 为了某些需求,分析下V8.3的版本!   好了 开始吧~!   ShyPost企业网站管理系统 v8.3   漏洞一:...

Struts2再爆远程代码执行漏洞(S2-016)

Struts2再爆远程代码执行漏洞(S2-016)

预警篇点击查看:漏洞预警:struts2最新s2-016代码执行漏洞CVE-2013-2251 Struts又爆远程代码执行漏洞了!在这次的漏洞中,攻击者可以通过操纵参数远程执...

LDAP注入与防御解析

LDAP注入与防御解析

    1 LDAP出现的背景   LDAP(Lightweight Directory Access Protocol):轻量级目录访问协议,是一种在线目录访问协议。LD...

发表评论

访客

◎欢迎参与讨论,请在这里发表您的看法和观点。
请先 登录 再评论,若不是会员请先 注册