漏洞详情
披露状态:
2016-04-09: 细节已通知厂商并且等待厂商处理中
2016-04-09: 厂商已经确认,细节仅向厂商公开
2016-04-19: 细节向核心白帽子及相关领域专家公开
2016-04-29: 细节向普通白帽子公开
2016-05-09: 细节向实习白帽子公开
2016-05-24: 细节向公众公开
简要描述:
多个地方SQL注入
详细说明:
中 国 邮 政 速 递 物 流 股 份 有 限 公 司 北 京 市 分 公 司
系统多处存在SQL注入,泄露一些运单信息

orderno存在SQL注入
漏洞证明:
用户密码什么的没有加密
登陆后台,发现后台又有SQL注入
新添加状态,填入“'”



另外两处


修复方案:
版权声明:转载请注明来源 路人甲@乌云