漏洞总结：Online FIR System PHP 邮件参数 SQL 注入 1. 漏洞概述 漏洞类型：SQL 注入 (SQL Injection) - CWE-89 严重程度：High (高) 受影响组件：Online FIR System in PHP 的登录认证功能。 具体位置： 漏洞原理：应用程序在登录处理过程中，直接使用了用户提供的 参数构建 SQL 查询，未进行任何验证、清理或使用参数化查询（Prepared Statements）。攻击者可以通过注入时间盲注（Time-based Blind SQL Injection）载荷（如 ）来操纵 SQL 查询结构。 2. 影响范围 受影响版本：Online FIR System v1.0 潜在危害： 绕过身份验证（Bypass authentication）。 提取敏感数据库信息。 访问用户账户。 修改或删除数据库记录。 提升权限。 在严重情况下，攻击者可完全控制应用程序。 3. 修复方案 使用预处理语句：使用 PDO 或 MySQLi 的预处理语句来构建查询，避免直接拼接字符串。 示例代码： 输入验证：对用户输入格式（如电子邮件结构）进行严格验证。 最小权限原则：确保数据库账户仅拥有执行必要操作的最小权限。 安全测试：定期进行渗透测试和代码审计。 4. POC 代码 (Proof of Concept) HTTP 请求示例： 复现步骤中的 Payload：