设为首页收藏本站
开启辅助访问 软件测试门户软件测试培训软件测试论坛测试解决方案文章资料精选软件测试博客软件测试招聘

51Testing软件测试论坛

 找回密码
 (注-册)加入51Testing

QQ登录

只需一步，快速开始

微信登录，快人一步

手机号码，快捷登录

51Testing软件测试论坛 »软件测试论坛 › [行业领域业务知识] › [电子商务测试] › [原创]淘宝taobao.com网站的Bind Sql Injection安全性漏 ...
返回列表 发新帖
查看: 5278|回复: 9
打印 上一主题 下一主题

[原创]淘宝taobao.com网站的Bind Sql Injection安全性漏洞

[复制链接]
卖烧烤的鱼

该用户从未签到
跳转到指定楼层
1#
发表于 2008-7-22 09:17:05 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
[原创]淘宝taobao.com网站的Blind Sql Injection安全性漏洞
具我分析存在漏洞的地方，目前发现的几个：
http://www.taobao.com/index_inc/cms_inc.php
http://www.taobao.com/help/wizard/wizard.js
http://www.taobao.com/home/js/sys/ymail.js

操作步骤：
（1）打开浏览器，然后输入如下构造的sql injection脚本
（2）http://www.taobao.com/index_inc/ ... &t=20080625，确认后你将发现一些有意思的数据显示出来^_^


[ 本帖最后由 卖烧烤的鱼 于 2008-7-22 09:24 编辑 ]
安全性

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？(注-册)加入51Testing

x
分享到:  QQ好友和群QQ好友和群 QQ空间QQ空间 腾讯微博腾讯微博 腾讯朋友腾讯朋友
微信
收藏收藏

相关帖子

【你来问我来答第140期】：敏捷测试的奥秘与挑战：问答专场！
回复

使用道具 举报

1qazse4

该用户从未签到
2#
发表于 2008-7-23 09:18:11 | 只看该作者
确实如楼主所说的
  但是我想问下，楼主是怎麽想到在url后面加这样的字符呢：?path=py_index&t=20080625'%20and%20'barfoo'='foobar'%20--

   能不能说下你的思路。谢谢！
回复 支持 反对

使用道具 举报

卖烧烤的鱼

该用户从未签到
3#
 楼主| 发表于 2008-7-23 09:58:28 | 只看该作者
确定系统所使用的数据库类型->分析系统哪部分有sql相关语句->构造sq注入的参数->替换语句->实现注入目的,基本上流程是这样操作^_^
【你来问我来答第140期】：敏捷测试的奥秘与挑战：问答专场！
回复 支持 反对

使用道具 举报

Testingpig

该用户从未签到
4#
发表于 2008-7-23 16:29:50 | 只看该作者
好强啊~~~~
回复 支持 反对

使用道具 举报

Spark.lee

该用户从未签到
5#
发表于 2008-7-23 16:58:20 | 只看该作者

请教下：

这样对taobao 有什么危害吗？
提示的这些数据有什么作用
回复 支持 反对

使用道具 举报

dycadrtf

该用户从未签到
6#
发表于 2008-7-23 17:46:51 | 只看该作者
高手
【你来问我来答第140期】：敏捷测试的奥秘与挑战：问答专场！
回复 支持 反对

使用道具 举报

卖烧烤的鱼

该用户从未签到
7#
 楼主| 发表于 2008-7-24 08:58:40 | 只看该作者

回复 5# 的帖子

获得管理员权限，挂木马或恶意软件或是直接更改你数据库表对其增，删，更新等都是有可能的，例如：你如果经常用google搜索的话，经常会发现有这些话“该网站可能含有恶意软件，有可能会危害您的电脑”，其实这类情况多数是属于已让人黑了
回复 支持 反对

使用道具 举报

yeziqingqing

该用户从未签到
8#
发表于 2008-7-25 17:09:37 | 只看该作者
太强了，版主果真不一样！
回复 支持 反对

使用道具 举报

gwrwd

该用户从未签到
9#
发表于 2008-7-28 16:25:30 | 只看该作者
牛人，学习
【你来问我来答第140期】：敏捷测试的奥秘与挑战：问答专场！
回复 支持 反对

使用道具 举报

dsy851009

该用户从未签到
10#
发表于 2008-8-1 11:01:23 | 只看该作者
！！！！！！！！！！！！！淘宝网估计得高薪找你了。
回复 支持 反对

使用道具 举报

返回列表 发新帖

本版积分规则

关闭

站长推荐上一条 /1 下一条

小黑屋|手机版|Archiver|51Testing软件测试网 ( 沪ICP备05003035号 )  关于我们

GMT+8, 2024-11-7 13:38 , Processed in 0.071407 second(s), 28 queries .

Powered by Discuz! X3.2

© 2001-2024 Comsenz Inc.

快速回复 返回顶部 返回列表