漏洞关键信息 名称 Yonyou Space-Time Enterprise Information Integration KSOA Platform /worksheet/del_workplan.jsp SQL injection #7 受影响产品 Yonyou Space-Time Enterprise Information Integration Platform KSOA v9.0 受影响文件 /worksheet/del_workplan.jsp 漏洞类型 SQL injection 根因 该漏洞存在于KSOA平台的 文件中。应用程序通过'name'参数接受不受信任的输入，并直接将其连接到SQL查询中，而没有适当的验证或参数化。这具体影响使用MS SQL Server的环境，隐患是可以通过时间延时扫描利用此漏洞。 影响 攻击者可以利用此SQL注入漏洞实现未经授权的数据库访问，敏感数据泄露，数据篡改，并可能获得数据库服务器的管理控制。这给系统的信息安全性、完整性和可用性造成严重影响。 漏洞细节和POC 易受攻击的URL: http://139.129.39.196:98/worksheet/del_workplan.jsp 易受攻击的参数: id 方法: GET 修复建议 1. 使用预编译语句: 实现参数化查询（预编译语句）进行所有数据库访问。这确保数据库将用户输入视为数据，而非可执行代码。 2. 输入验证: 严格验证'id'参数以确保它仅包含预期的字符（例如，仅整数）。 3. WAF配置: 部署Web应用防火墙（WAF）以检测并阻止常见的SQL注入模式。 4. 错误处理: 禁用前端详细数据库错误消息以防止信息泄露。