理工網(wǎng)站的重大漏洞問題

mchen

進(jìn)入理工研究生主頁(yè),點(diǎn)擊"在線新聞管理"
然后在出現(xiàn)的登陸界面上填入:
用戶名： 'or''='
  
密碼：   'or''='

就能進(jìn)入系統(tǒng).
       此漏洞很早就出現(xiàn)了,但解決方法很簡(jiǎn)單.
如:
只要過濾掉’這些特殊符號(hào)就可以了。

比如密碼字段為password就這樣過濾下

password=replace(trim(request.form("password")),"'","''")

以上代碼在asp程序中修改.

希望理工老師盡快解決這個(gè)問題.

kenneth

你是怎么發(fā)現(xiàn)的啊

godfriend

哈哈,我們可以隨便發(fā)新聞

godfriend

可是利用'or''='登陸后,修改密碼,相當(dāng)于添加了用戶,用新的用戶登陸怎么辦?我就弄了個(gè)用戶

godfriend

我剛發(fā)了個(gè)新聞,然后怕找我麻煩,又刪除了

blaze

哥么，強(qiáng)人，我得趕快匯報(bào)給老師，嘿嘿

landagen

樓主火星來的?

mchen

這個(gè)漏洞很早就有了,不過現(xiàn)在已經(jīng)很少有asp系統(tǒng)中存在這個(gè)了。兄弟們別亂在網(wǎng)上改了。要是你們學(xué)校領(lǐng)導(dǎo)怪罪下來，我可沒責(zé)任啊，我只是指出這個(gè)漏洞。期望理工的老師趕快修復(fù)。呵呵

liko

  學(xué)校的網(wǎng)絡(luò)管理人員，寒一個(gè)～～

空山狂客

LZ捅大簍子了 一會(huì)去試試

執(zhí)迷不悟

做人要厚道撒,別亂搞哈

waren112

地球很危險(xiǎn)的，樓主趕緊回火星去吧

imf33

強(qiáng)

david07

真是的！！！！！

kibaa

大大大........大漏洞！
學(xué)校這方面真差！