2006-01-23 22:15:11 by: h4x0r
Sql通用防注入系统3.1β版的跨站漏洞
我们知道3.0版有个跨站漏洞，就是由于提交的参数的值没有被HTML编码，不过β版已经补上了。
仔细分析，还有哪些地方是用户输入的而且被显示出来呢，呵呵，除了提交的参数的值还有提交的参数啊。呵呵，这个他可没过滤。好，测试一下先，http://localhost/sql-test/Neeao_sqlin.asp?<script>alert("test by lake2")</script>=and，然后登陆后台，yeah，弹出对话框，跨站成功！
跨站的时候要注意字段大小，自己去看看数据库结构吧，呵呵，Enjoy It ！
Comments Feed: http://www.4evil.org/feed.asp?q=comment&id=531
仔细分析，还有哪些地方是用户输入的而且被显示出来呢，呵呵，除了提交的参数的值还有提交的参数啊。呵呵，这个他可没过滤。好，测试一下先，http://localhost/sql-test/Neeao_sqlin.asp?<script>alert("test by lake2")</script>=and，然后登陆后台，yeah，弹出对话框，跨站成功！
跨站的时候要注意字段大小，自己去看看数据库结构吧，呵呵，Enjoy It ！
Comments Feed: http://www.4evil.org/feed.asp?q=comment&id=531
View Mode: |
Comments: 1
| Views: 478
nyhyeah
[ 2006-01-24 09:28:58 ]
嘿嘿，加了通用防注入系统不是让系统更不安全？
