关键漏洞信息 受影响产品: Online Voting System 厂商主页: https://itsourcecode.com/free-projects/php-project/online-voting-system-project-in-php-with-source-code/ 影响版本: V1.0 漏洞类型: SQL injection 根本原因: - 在 文件中，'username'参数未经适当清理或验证，直接用于SQL查询，允许攻击者伪造输入值，操纵SQL查询并执行未授权操作。 影响: - 攻击者可以利用此SQL注入漏洞，未经授权访问数据库，导致敏感数据泄露、数据篡改、系统控制乃至服务中断，威胁系统安全和业务连续性。 漏洞描述和POC: - 漏洞位于 文件中的 参数，允许注入恶意SQL查询。以下是POC示例： - 使用sqlmap工具测试和运行的截图显示了具体的漏洞验证过程。 建议修复措施: 1. 使用预编译语句和参数绑定: 预编译语句将SQL代码和用户输入数据分离，防止SQL注入。 2. 输入验证和过滤: 严格验证和过滤用户输入数据，确保符合预期格式。 3. 最小化数据库用户权限: 控制数据库连接账户的权限，避免使用高权限账户进行日常操作。 4. 定期安全审计: 定期进行代码和系统安全审计，及时发现和修复潜在安全漏洞。