关键漏洞信息 受影响产品 产品名称: Company Visitors Management System Project V2.0 厂商主页: https://phpgurukul.com/company-visitor-management-system-using-php-and-mysql/ 漏洞文件和版本 易受攻击的文件: /admin-profile.php 受影响版本: V2.0 漏洞类型 类型: SQL注入 根因 在 文件中，通过 参数注入恶意代码。该输入直接用于SQL查询，未进行适当的验证或过滤。 影响 利用此SQL注入漏洞，攻击者可以未经授权访问数据库，窃取数据，控制系统，甚至破坏服务。 描述 在对“Company Visitors Management System”的安全评估中，检测到 文件中的关键SQL注入漏洞。由于对用户输入的不充分验证，导致SQL注入。 漏洞细节和POC 漏洞位置: 参数 Payload: - 参数: Multipart/form-data (custom POST) - 类型: 时间盲注AND时间盲注（查询SLEEP） - Payload: ...geckoforBoundaryYiaaD976e043a8f177d4542f5bdc200... 请求包: - POST /cms/admin-profile.php HTTP/1.1 - Host: 192.168.1.100 - Content-Type: multipart/form-data; boundary=...geckoforBoundaryYiaaD976e043a8f177d4542f5bdc200... 建议修复 1. 使用预编译语句和参数绑定。 2. 进行输入验证和过滤。 3. 最小化数据库用户权限。 ``` 这些信息总结了漏洞的关键方面，包括受影响的产品、文件、版本、漏洞类型、根因、影响、描述、漏洞细节和建议的修复措施。