漏洞概述 漏洞名称: phpgurukul Online Shopping Project V2.1 /order-details.php SQL injection #13 漏洞类型: SQL Injection (SQL注入) 根本原因: 在 文件中， 参数直接用于SQL查询，未进行适当的验证或清理（Sanitization），导致攻击者可注入恶意代码。 影响: 允许攻击者未经授权访问数据库，导致敏感数据泄露、数据篡改，甚至完全控制服务器。 影响范围 受影响产品: Online Shopping Portal Project 受影响版本: V2.1 受影响文件: 软件链接: https://phpgurukul.com/phpm_process_download?id=7393 POC 代码与利用信息 Payload 1 (Boolean-based blind): Payload 2 (Time-based blind): Vulnerability Request Packet: 修复方案 1. 使用预处理语句和参数绑定 (Employ prepared statements and parameter binding): 使用预处理语句作为有效的防护手段，将SQL代码与用户输入数据分离。 2. 进行输入验证和过滤 (Conduct input validation and filtering): 严格验证和过滤用户输入数据，确保其符合预期格式，从而阻止恶意输入。 3. 最小化数据库用户权限 (Minimize database user permissions): 确保用于连接数据库的账户仅拥有最低限度的权限，避免使用高权限账户（如 'root' 或 'admin'）进行日常操作。