朗新天霁人力资源管理系统e-HR，webservice无需要登录可调用，并存在sql注射漏洞，直接获取管理员明文密码。
在提交参数是后台接收客户端传过来的sql语句，导致任意操作数据库
http://**.**.**.**//Service/ComService.svc
如：获取超级管理员的密码如下：
暴错注入：(select top 1 left(password,10) from A01)>0
案例：
**.**.**.**/
**.**.**.**:8011/ehr/
**.**.**.**
工资、身份证等公司敏感数据就这样泄露了。
sql过滤
