Welcome Einit.com!

主页

阅读

Welcome Einit.com!

陕西地震信息网被黑测试　 [::丛昊::]

陕西地震信息网网站数次被黑，我以为是很大的漏洞，这两天忙得一分钟都没闲，上网转了一圈还是想看看到底是怎么回事。

打开陕西地震信息网，随便打开一个页面，地址为：
http://www.eqsn.gov.cn/news/details.aspx?id=565
用最简单的SQL注入测试一下，在id参数后面加个单引号：

http://www.eqsn.gov.cn/news/details.aspx?id=565'

结果出来了！

“/”应用程序中的服务器错误。

字符串的语法错误在查询表达式 'id=565'' 中。

说明: 执行当前 Web 请求期间，出现未处理的异常。请检查堆栈跟踪信息，以了解有关该错误以及代码中导致错误的出处的详细信息。

异常详细信息: System.Data.OleDb.OleDbException: 字符串的语法错误在查询表达式 'id=565'' 中。

源错误:


行 40： OleDbDataAdapter myCommand = new OleDbDataAdapter("SELECT * FROM aa WHERE id="+newsid, myConnection); 行 41： DataSet ds = new DataSet(); 行 42： myCommand.Fill(ds, "aa"); 行 43： dr = ds.Tables["aa"].Rows[0]; 行 44： string newsid1=dr["newsid"].ToString();

最简单的漏洞！！！连SQL语句都看到了，而且表也有了！最弱的黑客都能搞定

其他的测试也不想做了，无意义了。希望搞技术而且有空的朋友能帮地震局网站一把，别让人家说陕西网站的技术太丢人，写网站连这样的漏洞都能留下。

另外说一下：黑客朋友，黑政府网站是违法行为，请不要触犯国家法律。国难当头，请团结起来共度难关。