关键漏洞信息 受影响产品 School Fees Payment Management System 漏洞文件 /School_Fees_Payment_Management_System/ajax.php?action=save_course 漏洞类型 SQL Injection 漏洞成因 在 项目的 文件中，存在一个 SQL 注入漏洞。主要原因是没有对 参数进行适当的数据清洗或验证，从而使攻击者可以直接在 SQL 查询中注入恶意代码。 漏洞影响 攻击者可以利用此 SQL 注入漏洞获取未经授权的数据库访问权限，导致敏感数据泄露、数据篡改、控制整个系统，甚至中断服务，对系统安全和业务连续性构成严重威胁。 漏洞详情及POC 漏洞位置： 参数 Payload详细信息： SQLMap测试截图信息 SQLMap识别出的注入点位于参数 中，使用布尔盲注，原始值替换方式注入。 建议修复措施 1. 使用预编译语句和参数绑定：通过预编译语句防止SQL注入，用户输入的数据被视为纯数据，不会被解释为SQL代码。 2. 输入验证和过滤：严格验证和过滤用户输入的数据，确保其符合预期格式。 3. 最小化数据库用户权限：确保连接数据库的账户只拥有必要的最低权限，避免使用高级权限账户。 4. 定期安全审计：定期对代码和系统进行安全审计，及时发现并修复潜在的安全漏洞。