【文本版|topic】 高级搜索
   名人堂 帮助 论坛制度 意见反馈 | 首页 博客 周新贴 招聘 专题 新闻
 RSS 底部
 
社区导航: 专家门诊   网络技术   操作系统   数据库   程序设计   系统应用   考试认证   CIO及信息化   站长交流   综合交流   下载基地  51CTO产品服务 【设为首页 | 收藏本站】
51CTO技术论坛» 微软SQL Server专区 » SQL Server数据库管理 » Maian Weblog多个SQL注入漏洞       [ 打印]  [ 订阅]  [ 收藏]  [ 推荐给朋友]   [ 本帖文本页]
 

论坛跳转:
     
标题: [转载] Maian Weblog多个SQL注入漏洞  ( 查看:152  回复:0 )   
 
嚣张不了
新新人类  点击可查看详细



帖子 49
精华 0
无忧币 153
积分 145
阅读权限 20
注册日期 2007-8-30
最后登录 2007-12-2 离线

[查看资料]  [发短消息]  [Blog] 
       
发表于:2007-12-2 16:37　 　标题：Maian Weblog多个SQL注入漏洞
＜上一帖 |
漏洞信息

　　Maian Weblog是一款基于WEB的日记程序。

　　Maian Weblog 不充分过滤用户输入数据，远程攻击者可以利用漏洞进行SQL注入获得敏感信息。

　　问题是'print.php'脚本对用户提交的'entry'参数缺少过滤，可提交恶意SQL查询作为参数数据，可更改原来的SQL逻辑，获得敏感信息。

　　另外'mail.php'脚本对'email'参数同样缺少过滤，可导致敏感信息泄露。

　　BUGTRAQ ID: 17247

　　CVE ID: CVE-2006-1334

　　CNCVE ID:CNCVE-20061334

　　漏洞消息时间:2006-03-28

　　漏洞起因

　　输入验证问题

　　影响系统

　　Maian Script World Maian Weblog 2.0

　　危害

　　远程攻击者可以利用漏洞进行SQL注入获得敏感信息。

　　攻击所需条件

　　攻击者必须访问Maian Weblog。

　　测试方法

　　http://www.example.com/print.php?cmd=log&entry=999'% 20union%20select% 201,2,3,4,5, 6/*

　　http://www.example.com/mail.php? cmd=remove&email=111' or 1/*

　　厂商解决方案

　　目前没有解决方案提供,请关注以下链接：

　　http://www.maianscriptworld.co.uk/

　　漏洞提供者

　　Aliaksandr Hartsuyeu

　　漏洞消息链接

　　http://evuln.com/vulns/101/summary.html

　　漏洞消息标题

　　Maian Weblog Multiple SQL Injection Vulnerabilities

网络工程师到底该不该去考CCIE认证？
2007-12-2 16:371楼
[ 顶部 ]
     
论坛跳转:  

| | |
标记已读 · 删除论坛Cookies · 文本版 · WAP
 
| 诚征版主 | 版主堂 | 意见建议 | 大史记 | 论坛地图
Copyright©2005-2008 51CTO.COM  Powered by Discuz!
本论坛言论纯属发布者个人意见，不代表51CTO网站立场！如有疑义，请与管理员联系。
京ICP备05051492号