记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

樱桃企业网站管理系统V3.1 SQL注入及任意管理员帐号密码修改.删

2013-07-04 06:25

樱桃企业网站管理系统V3.1 SQL注入及任意管理员帐号密码修改.删除漏洞
 程序下载地址:http://down.chinaz.com/soft/31227.htm
 
漏洞文件:news_category.asp
 漏洞代码:未过滤
 Set rs = server.CreateObject("adodb.recordset")
 sql = "select * from news where category="&request.QueryString("id")&" order by id desc"
 rs.Open sql, conn, 1, 1
 If rs.EOF Then
 漏洞文件admin_delete.asp
 漏洞原因:seeion.asp未包含
 任意管理员帐号删除漏洞,未进行权限验证,你懂的。
 利用方法http:\\www.8090sec.com\admin\admin_delete.asp?id=1
 漏洞文件admin_modify.asp
 漏洞原因:seeion.asp未包含
 任意管理员修改漏洞,包括密码哦亲连注入踩解密码都省去了
 利用方法http:\\www.8090sec.com\admin\admin_modify.asp?id=1
 
拿shell方法,编辑器FCK,知道怎么做吧,
 实在不行把一句话写到网站配置文件中
 大家说这样还能不过么,过一个!



知识来源: www.8090sec.com/WEBanquan/111469.html

阅读:116358 | 评论:0 | 标签:注入

想收藏或者和大家分享这篇好文章→复制链接地址

“樱桃企业网站管理系统V3.1 SQL注入及任意管理员帐号密码修改.删”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

推广

标签云