关键信息总结 受影响的产品 产品名称: Online Course Registration 版本: V3.1 漏洞文件 文件路径: /admin/student-registration.php 漏洞类型 类型: SQL Injection 根因 原因: 由于参数 的输入未经过充分验证和过滤，导致可以直接在SQL查询中注入恶意代码。 影响 风险: 攻击者可以利用此漏洞获取数据库的未授权访问、篡改数据、删除数据、控制系统，甚至中断服务。 描述 详情: 在对"Online Course Registration"的安全评估中，发现 文件存在严重的SQL注入漏洞。由于用户输入的 参数未进行有效验证和过滤，攻击者可以绕过安全检查，执行任意SQL命令。 漏洞细节和POC 位置: 参数 Payload: 请求包: 建议修复 1. 使用预编译语句和参数绑定: 预编译语句可以有效防止SQL注入，因为它们将SQL代码与用户输入的数据分离。 2. 进行严格的验证和过滤: 对用户输入的数据进行严格验证和过滤，确保其符合预期格式。 3. 最小化数据库用户权限: 确保用于连接数据库的账户只有最低必要的权限，避免使用具有高权限的账户进行日常操作。