AlstraSoft E-Friends Pack SQL注入漏洞

2007-05-2400:00:00

Root

www.seebug.org

JSON

AlstraSoft E-Friends是一款基于PHP的WEB应用程序。

AlstraSoft E-Friends不正确过滤用户提交的输入，远程攻击者可以利用漏洞进行SQL注入攻击，可获得敏感信息。

问题是脚本对用户提交的’pack’参数缺少过滤，提交恶意SQL代码作为参数数据，可导致更改原来的SQL逻辑，获得敏感信息。

AlstraSoft E-Friends 4.0
AlstraSoft E-Friends 4.21
目前没有解决方案提供：

<a href=“http://www.alstrasoft.com/efriends.htm” target=“_blank”>http://www.alstrasoft.com/efriends.htm</a>


                                                #!/usr/bin/php&nbsp;-q&nbsp;-d&nbsp;short_open_tag=on
&lt;?
echo&nbsp;&quot;
AlstraSoft&nbsp;E-Friends&nbsp;&lt;=&nbsp;4.21&nbsp;Admin&nbsp;Session&nbsp;Retrieve&nbsp;Exploit
by&nbsp;BlackHawk&nbsp;&lt;[email protected]

JSON