JA-awd-sqlgunnews新闻管理系统

1.打开主页 搜索框看一波，输入美国 发现了什么不得了的东西，居然输出了后台的某个查询逻辑，于是看看搜索框能不能也这样绕过，爆库爆表爆字段，得到后台登陆账户密码 解密得密码为adminSql注入修复建议：pdo预处理 2.继续看看没发现什么东西，看了一下自己的源码，发现后台登陆页面 admin admin登陆（其实这里也有sql注入漏洞，万能密码就登陆上了。。。）发现一个任意文件下载漏洞 试试下载

>>阅读原文<<