联想Lenovo某crm的Portal管理界面注入下载

联想 Lenovo Portal 管理平台登录页面存在注入

admin' and 1=(select @@version)--

进一步检测发现 tbpwd 和 tbuser 都存在注入，密码框存在注入 保存明文吧？



默认路径c:\inetpub\wwwroot\

默认权限 sa

baidu下还发现了同样几个

一样的系统一样的注入

http://124.128.235.118/Default.aspx

http://124.128.235.115/Default.aspx

http://59.48.158.30:8081/Default.aspx

修复方案：

参数过滤，不要保存明文密码