全峰快递主站SQL注入可执行命令导致全站沦陷

全峰快递主站存在注入点：http://www.qfkd.com.cn/city.aspx?wang=231&city=640&type=%E7%BD%91%E7%AB%99%E5%90%8D%E7%A7%B0&keywords=%E6%B5%99%E6%B1%9F参数keywords可以注入，但是过滤了空格，用注释绕过即可

数据库信息：

某个数据库里的表：

试了下可以执行命令，权限真大，吓死宝宝了。。

剩下弹个shell回来的就不做了，不深入了。。谢绝跨省

过滤咯，别的地方都过滤了，就这个参数没过滤。。。权限降低些咯。。

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞Rank：15 (WooYun评价)

1. 2010-01-01 00:00 表哥 白帽子 | Rank:23 漏洞数:3)

   我去 还能用

2. 2010-01-01 00:00 hh2014 白帽子 | Rank:41 漏洞数:4)

   运气不错，wooyun补rank了，我发的全峰的就直接忽略了

3. 2010-01-01 00:00 丶潇洒哥 白帽子 | Rank:0 漏洞数:0)

   给他脱了。

4. 2010-01-01 00:00 马云 白帽子 | Rank:6 漏洞数:2)

   无良厂商

5. 2010-01-01 00:00 二愣子 白帽子 | Rank:99 漏洞数:8)

   这厂商~~~~都不补的啊~~~~