苏州同程旅游网某频道SQL注入漏洞下载

苏州同程旅游网某频道SQL注入漏洞

某购票页面，参数过滤不严密

contactWay_radio，card_num等参数过滤不严

post类型注入:

http://www.ly.com/iflight/requireordernew.aspx?type=tuan

data:txtlnkremark=WCRTESTTEXTAREA000003&pass_card=1&passenerType=1&cabinType=1&first_name=姓(Surname)&last_name=名(Given names)&pass_type0=1&pass_sex0=1&birth_date=1980-01-01&nation=中国&card_num=WCRTESTINPUT000000&passOperType=passAdd&linkid=&linkName=WCRTESTINPUT000001&linkMobile=WCRTESTINPUT000002&linkEmail=xxx@xxx.xxx&contactWay_radio=1

sqlmap一直没有注进去，webcruiser轻松注入

修复方案：

参数过滤