卖座网一处SQL注射(Http Referer sqlinjection)

漏洞作者：猪猪侠

漏洞详情

披露状态：

2015-01-13：细节已通知厂商并且等待厂商处理中
2015-01-14：厂商已经确认，细节仅向厂商公开
2015-01-24：细节向核心白帽子及相关领域专家公开
2015-02-03：细节向普通白帽子公开
2015-02-13：细节向实习白帽子公开
2015-02-27：细节向公众公开

code 区域

GET /?cityId=13&cityName=%E5%B9%BF%E5%B7%9E HTTP/1.1

Host: m.maizuo.com

Proxy-Connection: keep-alive

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8

User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/39.0.2171.95 Safari/537.36

Referer: http://m.maizuo.com/city‘

Accept-Encoding: gzip, deflate, sdch

Accept-Language: zh-CN,zh;q=0.8,en;q=0.6,zh-TW;q=0.4

Cookie:

时间： 2024-10-10 15:09:35

卖座网一处SQL注射(Http Referer sqlinjection)的相关文章

【原创】ourphp一处SQL注射

想起早些年就已经很少玩审计了,后来因为合作方的原因就down了一份源码分析了一些,在很多地方都调用过滤函数.最后在评论一处发现了未过滤的地方,我们看看. <?php /******************************************************************************* * Ourphp - CMS建站系统 * Copyright (C) 2014 ourphp.net * 开发者:哈尔滨伟成科技有限公司 *****************

【原创】phpok一处SQL注射

看文件 :/framework/model/www/site_model.php 66行估计主机头注入很少能发现. 在多处调用了我们就直接拿留言板处测试. public function get_one_from_domain($domain='') { $sql = "SELECT site_id FROM ".$this->db->prefix."site_domain WHERE domain='".$domain."'";

可以有效防护XSS，sql注射，代码执行，文件包含等多种高危漏洞。

http://bbs.aliyun.com/read/137391.html <?php /** * 云体检通用漏洞防护补丁v1.1 * 更新时间:2013-05-25 * 功能说明:防护XSS,SQL,代码执行,文件包含等多种高危漏洞 */ $url_arr = array( 'xss' => "\\=\\+\\/v(?:8|9|\\+|\\/)|\\%0acontent\\-(?:id|location|type|transfer\\-encoding)", ); $a

Zabbix的前台SQL注射漏洞利用

今年8月份Map在wooyun上发了个Zabbix某前台SQL注射漏洞 ,11月份才公开. 漏洞详情大约是这样的: 在zabbix前端存在一个SQL注射漏洞,由于zabbix前台可以在zabbix的server和client进行命令执行,所以这会导致很严重的后果. 在 /chart_bar.php 的163行代码获取了一个来自GET,POST,COOKIE的值itemid. $itemid = $item['itemid']; 最后这个参数进到了SQL查询的过程在同一个文件内的$period

网摘 SQL Server

http://soft.chinabyte.com/database/215/12374715.shtml . 软件与服务我们也在这里: . 企业计算大数据存储软件与服务数据库/开发服务器操作系统网络安全 . 您的位置: 比特网 > 软件与服务 > 正文 . 分享一个 SQLSERVER脚本发布时间:2014-07-17 16:21:00来源:论坛作者:译名 . . 关键字:数据库很多时候我们都需要计算数据库中各个表的数据量和每行记录所占用空间. 这里共享一个脚

网狐SQL常用脚本自动添加子游戏信息棋牌平台架设教程

好久没写了,这次给大家说个用SQL脚本自动添加子游戏每次新装好环境后,增加子游戏是个重复的劳动,很麻烦,怎么能让他自动生成呢.下面我们就用SQL脚本来解决. 将下面代码写入记事本,保存成 " 游戏ID.SQL".USE QPPlatformDBGOTRUNCATE TABLE GameGameIteminsert into GameGameItem(GameID, GameName, SupporType, DataBaseAddr, DataBaseName, ServerVersi

DVWA系列のSQL注射

SQL Injection(SQL注入) 等级为low时直接抓包放入sqlmap 直接就能跑出来等级为medium时 SQL Injection (Blind)

Zabbix最新SQL注射漏洞利用

freebuf刚爆Zabbix的sql注入:http://www.freebuf.com/vuls/112197.html 漏洞测试: 爆用户名和密码: http://192.168.1.13/zabbix/jsrpc.php?type=9&method=screen.get&timestamp=1471403798083&pageFile=history.php&profileIdx=web.item.graph&profileIdx2=(select (1) f

11条理由告诉你，为什么你的网站不卖座

http://news.cnblogs.com/n/507668/ 一个精心设计的网站自然能够促进公司业务的增长和品牌的加强. 尼尔森的一项研究发现,用户在一个网站上的平均用时是 10-20 秒.在开始的浏览时,访客在网站上发现值得进一步查看的内容才会停留更长的时间.对于企业而言,这是分秒必争. 造成一家网站价值丧失的因素可能有数个.为了能够进行更好的用户管理并拥有更好的网站流量,以下 11 个会影响网站表现的问题应该得到尽快修复. 1.低品质的视觉效果许多人研究过视觉效果在交流中的作用.19

卖座网一处SQL注射(Http Referer sqlinjection)

漏洞作者： 猪猪侠

漏洞详情

披露状态：

卖座网一处SQL注射(Http Referer sqlinjection)的相关文章

漏洞作者：猪猪侠