Siteserver 3.6.3版SQL注入漏洞

官方最新版本3.6.4。

扫描siteserver 3.6.3版本目录结构,获得URL如下

http://www/siteserver/CMS/console_tableMetadata.aspx?ENName=cms_Content&TableType=BackgroundContent

注入点就存在ENName上,完全没有任何过滤。各种SQL注入类型,可以执行os cmd,脱裤。。。。。。

获得程序版本的方法,访问

http://www/siteserver/Upgrade/default.aspx




评论 (0)