单引号导致的网站崩溃 L-blog入侵实录
作者: , 出处:chinaok.com, 责任编辑: lvye,
2006-04-14 10:18
L-blog程序中代码的过滤不严，导致黑客可以向L-blog中写入恶意数据，从而将自己的账号提升为管理员，进而登录L-blog后台管理系统，写入webshell，并进一步得提升权限，从而获取服务器的控制权。
在“性别”一栏的文本框中输入:“0,mem_Status="SupAdmin"”(不包括引号)，点击“确定编辑”即可完成本地提交。我们重新登陆L-blog，可以发现，在“用户中心”中多出了两个选项“发表日志”和“系统管理”(如图1)，这两个选项是只有L-blog的管理员才能够看到的，因此证明我们已经成功将自己的账号提升为管理员了。
图1 成功提升帐户为管理员
- 本文关键词：
