返利+SQL注入漏洞可随意登陆下载

来源：黑吧安全网　浏览：892次　时间：2014-05-27
做网站找雨过天晴工作室

返利+（www.fanli.com）通过sql注入可以随意登录，测试时登录的某些账户有V币和现金，站点高级别的用户可以提现和用V币充话费

通过sql注入登录的用户名为123456的账户

测试时发现一个账户有现金

修复方案：

加强登录时特殊字符的过滤，通过参数来传递用户输入变量