新浪香港某些应用，越权&sql注入&XSS - 网站

 

 

 

越权：http://cs.sina测试数据.hk/cgi-bin/admin/answer.cgi?id=85&action=enter

 

可对当前数据进行CRUD

sql注射（这个应用注射点比较多，自己再找找）：

 

 

把上面连接改为：

 

http://misssee.sina测试数据.hk/cgi-bin/index.cgi?action=add

 

或直接留言形成XSS!

 

还能影响远端其他应用对该应用的嵌入：

 

 

查看更多关于新浪香港某些应用，越权&sql注入&XSS - 网站的详细内容...