漏洞总结 漏洞概述 漏洞类型：SQL 注入（基于时间的盲注） 受影响文件： 漏洞成因：应用程序直接将用户提供的参数拼接到 SQL 语句中，未进行参数化处理。 影响范围 攻击者可能利用此漏洞： 操纵审批逻辑（未经授权的状态变更，取决于数据库行为/权限）。 推断数据库行为/数据（使用盲注技术）。 通过触发时间延迟或昂贵的数据库操作导致性能下降。 POC 代码 Payload: POC 详情: 漏洞端点： 参数： 和 参数直接用于 SQL 查询。 代码片段： 请求示例: 基线请求（正常响应时间）： 时间延迟验证请求（URL 编码的时间延迟表达式）： 修复方案 来源下载： https://code-projects.org/employee-management-system-in-php-with-source-code/ https://code-projects.org/employee-management-system-in-php-with-source-code/ 建议修复措施**：使用预处理语句（Prepared Statements）或参数化查询来替代字符串拼接，以防止 SQL 注入。