站长之家（chinaz.com）分站一枚SQL注入 - 网站安全

chinaz.com的一个二级域名下有一个SQL注入 漏洞 ，数据库内存在多个站点的数据，库内包含关键字taobao的相关库，不知道是否重要 不敢拖库，看看就算了

漏洞地址：http://top.chinaz.com/Action/API.aspx?host=www.aa.com 就是host没有过滤好，host参数的值传入后会判断是否URL，注入语句中不能存在双引号 个人猜想流程是 判断URL -〉直接带入SQL查询语句中 注入关键点是绕过判断URL URL判断失败：

带入SQL查询

其实说了这么多，手工注入完全是浪费时间的 尝试用SQLMAP，成功。可列库

虚拟机 截图麻烦，请谅解

解决方案 SQL注入常规过滤做法，开发人员比我懂

查看更多关于站长之家（chinaz.com）分站一枚SQL注入 - 网站安全的详细内容...