漏洞关键信息 概览 漏洞类型: SQL注入 (SQLi) 受影响应用: 在线求职搜索引擎 (代码项目) 受影响组件: - 参数 影响: 远程攻击者可以在数据库上执行任意SQL查询，可能导致数据泄露、身份验证绕过或服务中断。 严重性: 高 描述 网站的登录表单 参数存在SQL注入漏洞。应用在构建SQL查询时未能正确净化用户输入，导致攻击者可以操纵SQL查询，执行任意SQL命令，包括基于时间的盲注测试。 漏洞存在是因为应用使用了过时的 PHP函数，并依赖于 进行输入净化，这在某些情况下不足以防止SQL注入。 影响版本 无具体版本列出，但涉及到在线求职搜索引擎的 脚本。 概念验证 (PoC) 使用以下有效载荷可利用此SQL注入漏洞： 复现步骤 1. 导航到登录页: . 2. 在 字段输入: 3. 在 字段输入任意有效的或虚拟电话号码。 4. 提交表单。 5. 观察服务器响应延迟5秒，确认漏洞存在。 漏洞代码片段 查询直接插入用户输入而不使用预处理语句或参数化查询，使其易受SQL注入攻击。 参考资料 下载页面 OWASP SQL注入 PHP: Prepared Statements