浙江大学两处系统SQL注射漏洞,其中一处系统弱口令.
浙江大学两处系统SQL注射漏洞:
1.浙江大学房地产管理处
(1)在该处登录地址,此处密码猜测为用户名的拼音简写,即"经济学院",密码为jjxy;"教育学院",密码为jyxy。也相当于弱口令
(2)在页面"http://www.fdc.zju.edu.cn/house/RoomUseCheckList.aspx"中的"根据房间地址查询"存在sql注入:
sqlmap.py -r data.txt
用sqlMAP跑了下:
2. 浙江大学语言与认知研究中心:
涉及数据库:
跑得比较慢,没有检索数据表.仅列出数据库证明问题存在