Fwd: 19楼分站ci框架存在SQL入bug

---------- Forwarded message ----------
From: 黑客技术 <hackdig@foxmail.com>
Date: 2014-05-09 12:26 GMT+08:00
Subject: 19楼分站ci框架存在SQL入bug
To: sunkeel@gmail.com

本邮件内容由第三方提供，如果您不想继续收到该邮件，可 点此退订 。

19楼分站ci框架存在SQL入bug  阅读原文»

http://youxi.19lou.com/index.php/article/index/870%22and%20

利用代码 我还在研究ci框架防注入脚本

如果需要 明天 我写出来

A Database Error Occurred



Error Number: 1054



Unknown column '22and' in 'where clause'



select FlowID,title,content,createtime,type from 158wan_news where 1=1 and FlowID=870%22and%20 
    


Filename: /usr/local/apache2/htdocs/nineteenfloor/models/news_model.php



Line Number: 46

我知道19楼 这个网站和别的网站通杀



http://www.158wan.com/index.php/article/index/1060' 一模一样 bug 可以sql注入很多网站 证明

漏洞证明：

http://youxi.19lou.com/index.php/article/index/870%22and%20

利用代码 我还在研究ci框架防注入脚本

如果需要 明天 我写出来

A Database Error Occurred



Error Number: 1054



Unknown column '22and' in 'where clause'



select FlowID,title,content,createtime,type from 158wan_news where 1=1 and FlowID=870%22and%20 
    


Filename: /usr/local/apache2/htdocs/nineteenfloor/models/news_model.php



Line Number: 46

我知道19楼 这个网站和别的网站通杀



http://www.158wan.com/index.php/article/index/1060' 一模一样 bug 可以sql注入很多网站 证明

修复方案：

进行 过滤 不过ci框架挺安全的 利用代码随时可以找我 QQ 1813876030

黑客技术官网地址：http://www.hackdig.com/

刀客下载站：致力于最新最全的服务器安全软件  阅读原文»

最近整理硬盘，把收集的安全软件都打包上传做了这个下载站。有时间慢慢整理吧，如果有好的软件也请留言推荐。


目前已经收集整理了
AppScan  4个版本
AWVS  8个版本
burpsuite 9个版本
Havij   8个版本
JSky  5个版本
Pangolin  14个版本
safe3  9个版本

地址是

www.daokers.org
黑客技术官网地址：http://www.hackdig.com/

阅读更多内容