漏洞关键信息 概述 漏洞类型: SQL 注入 (SQLi) 受影响应用: 在线求职搜索引擎 受影响组件: 中的 参数 影响: 远程攻击者可以在数据库上执行任意 SQL 查询，可能导致数据泄露、身份验证绕过或拒绝服务。 严重性: 高 描述 漏洞存在于 参数中，该参数未正确对用户输入进行清理，导致构造 SQL 查询时存在 SQL 注入风险。攻击者可以利用这一点执行任意 SQL 命令，包括用于测试盲注的基于时间的负载。 由于使用已过时的 PHP 函数，并且仅依赖 进行输入清理，这在某些情况下不足以防止 SQL 注入。 影响版本 应用程序: 在线求职搜索引擎 PHP 脚本: 数据库: MySQL 证明概念 (PoC) 重现步骤 1. 导航至登录页面: . 2. 在 字段中输入: 3. 在 字段中输入任意有效或虚拟电话号码。 4. 提交表单。 5. 观察服务器响应延迟 5 秒，确认漏洞。 漏洞代码片段 直接在查询中插入用户输入，没有使用预处理语句或参数化查询，使其容易受到 SQL 注入。