关键漏洞信息 漏洞标题: AssetMan v2.5-b SQL Injection using Session Fixation Attack 披露日期: 2008-09-23 发现者: Neo Anderson & Rohit Bansal CVE编号: CVE-2008-4161 CWE编号: CWE-89 风险等级: Medium CVSS Base Score: 6.8/10 影响评分: 6.4/10 利用评分: 8.6/10 漏洞细节 漏洞类型: SQL Injection using Session Fixation Attack 受影响文件: search_inv.php 可变参数: GET variable 'order_by' 漏洞影响 通过利用此漏洞，攻击者可以执行会话固定攻击。在会话固定攻击中，攻击者在用户登录目标服务器之前就固定了用户的会话ID，从而消除了后续获取用户会话ID的需要。 利用示例 - PoC 参考链接 http://www.securityfocus.com/bid/31248 http://www.milw0rm.com/exploits/6490 http://secunia.com/advisories/31935