首页 / 操作系统 / Linux / Authenex ASAS Server “username”参数SQL注入漏洞
发布日期：2011-09-23 更新日期：2011-09-23受影响系统： authenex Authenex ASAS Server 3.1.0.3 authenex Authenex ASAS Server 3.1.0.2 描述： -------------------------------------------------------------------------------- BUGTRAQ ID: 49722Authenex ASAS Server是身份验证和移动数据安全系统。Authenex ASAS Server中的username参数在实现上存在SQL注入漏洞，远程攻击者可利用此漏洞控制应用程序，访问或修改数据。通过username参数发送到akeyActivationLogin.do的输入在用于SQL查询之前没有正确过滤，可通过注任意SQL代码操作SQL查询。成功利用要求运行“End User Self Service”模块。<*来源：Jose Carlos de Arriba *>测试方法： --------------------------------------------------------------------------------警 告以下程序（方法）可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！http://www.example.com/akeyActivationLogin.doPOST DATA: rgstcode=1111111111111111&username=a"; WAITFOR DELAY "0:0:30"--建议： -------------------------------------------------------------------------------- 厂商补丁：authenex -------- 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：http://support.authenex.com/index.php？_m=downloads&_a=viewdownload&downloaditemid=126IBM Lotus Domino “PanelIcon”参数跨站脚本执行漏洞Tomcat 又爆安全漏洞，情何以堪相关资讯 漏洞
快递官网漏洞泄露 1400 万用户信息 （08/12/2014 08:37:42）
要389目录服务器访问绕过漏洞 （10/01/2012 09:18:08）
ASUS Net4Switch "ipswcom.dll" （03/02/2012 09:32:42）
软件漏洞是一笔大买卖！ （10/06/2012 08:28:32）
PHPCMS V9.1.13任意文件包含漏洞分 （08/01/2012 07:23:17）
Open Handset Alliance Android （03/01/2012 06:59:34）
易网时代-编程资源站