系统被检测出SQL注入漏洞

hua_love2011 · 发表于 2023-7-12 12:41:06

本帖最后由 hua_love2011 于 2023-7-12 17:34 编辑

V3.8版本

漏洞位置：

登录后抓包-json数据包里含有filter参数，该参数全局多处存在，且都存在注入点建议全局修复

漏洞举证：

1、用burp在任意页面抓包，发现请求包中存在filter参数，对其进行简单手工测试，发现系统报错，并且把查询语句带了出来。在平台上二次开发的模块发现的注入漏洞我们已修复。

1=2是被安全检测人员添加的

jishuang · 发表于 2023-7-20 17:15:09

用平台默认queryAction可以重新默认的procedure对应的java方法
可以自己添加参数，用自己的参数传参不用filter

		自动登录	找回密码
密码			注册

[处理中3] 系统被检测出SQL注入漏洞