理工網站的重大漏洞問題

mchen · 發(fā)表于 2006-5-5 09:42:44

進入理工研究生主頁,點擊"在線新聞管理"
然后在出現的登陸界面上填入:
用戶名： 'or''='

密碼： 'or''='

就能進入系統(tǒng).
此漏洞很早就出現了,但解決方法很簡單.
如:
只要過濾掉’這些特殊符號就可以了。

比如密碼字段為password就這樣過濾下

password=replace(trim(request.form("password")),"'","''")

以上代碼在asp程序中修改.

希望理工老師盡快解決這個問題.

kenneth · 發(fā)表于 2006-5-5 11:51:55

你是怎么發(fā)現的啊

godfriend · 發(fā)表于 2006-5-5 13:28:50

哈哈,我們可以隨便發(fā)新聞

godfriend · 發(fā)表于 2006-5-5 13:34:09

可是利用'or''='登陸后,修改密碼,相當于添加了用戶,用新的用戶登陸怎么辦?我就弄了個用戶

godfriend · 發(fā)表于 2006-5-5 13:37:13

我剛發(fā)了個新聞,然后怕找我麻煩,又刪除了

blaze · 發(fā)表于 2006-5-5 16:41:17

哥么，強人，我得趕快匯報給老師，嘿嘿

landagen · 發(fā)表于 2006-5-5 16:50:56

樓主火星來的?

mchen · 發(fā)表于 2006-5-5 17:00:50

這個漏洞很早就有了,不過現在已經很少有asp系統(tǒng)中存在這個了。兄弟們別亂在網上改了。要是你們學校領導怪罪下來，我可沒責任啊，我只是指出這個漏洞。期望理工的老師趕快修復。呵呵

liko · 發(fā)表于 2006-9-13 12:07:36

學校的網絡管理人員，寒一個～～

空山狂客 · 發(fā)表于 2006-9-13 19:54:01

LZ捅大簍子了一會去試試

執(zhí)迷不悟 · 發(fā)表于 2006-9-18 07:37:07

做人要厚道撒,別亂搞哈

waren112 · 發(fā)表于 2006-10-14 07:37:17

地球很危險的，樓主趕緊回火星去吧

imf33 · 發(fā)表于 2006-10-16 21:14:57

david07 · 發(fā)表于 2006-10-16 22:06:36

真是的！！！！！

kibaa · 發(fā)表于 2006-10-20 19:44:32

大大大........大漏洞！
學校這方面真差！

		自動登錄	找回密碼
密碼			注冊(開放注冊)

電子科大論壇-非清水河畔

理工網站的重大漏洞問題

誰又把這帖子給頂上來的？〉