对某私服页游的SQL注入安全测试
站点信息
登陆页面：http://9*.9*.9*.9*:99/index.php
充值后台：http://o*.****.com:99/login.php（后面发现并非同一个站点）
目标
登陆管理员账户并实现物品发放
0x01
先使用 wafw00f 扫描目标站点是否启用了 WAF
登陆页面站点：无 WAF 配置
对充值后台尝试手动寻找SQL注入，点结果被WAF拦截
通过ip查询发现两个站点并不相同
尝试对游戏站点url添加 phpinfo.php （成功）
很幸运管理员安全意识并不高成功获取信息
根路径：
通过百度搜索后发现了与游戏相关的源码链接
不知道为啥网页打不开了。。。
里面大概介绍了
1.游戏服务器的架设方法数据库端口密码
2.给出了管理员和超级管理员的url以及默认的账号密码
超级管理员 url/gsh/login.php
管理员 url/gaao/login.php
回到游戏目标站点进行测试
超级管理员 地址可以正常打开但密码错误，大概率以及被修改
管理员 地址无法访问
数据库 密码错误地址端口正确
得出结论目标站点使用的确实为该套源码
将源码下载后使用代码审计工具扫描后分析代码
找到如下漏洞：
该变量没有进行严格过滤且进行了SQL查询。（存在SQL注入点）
尝试在目标站点尝试打开注入点所在页面（成功）
使用sqlmap进行验证（注入点存在）
直接使用指令提取 管理员 与 超级管理员 账户密码（密码也是明文真够方便的）
首先尝试登陆已知的 超级管理 员后台（成功）
由于这个超级管路员后台功能过于单调无法满足游戏实际需求
开始寻找普通的管理员后台
对超级管理有台功能进行测试时
发现存在的 存储型xss注入点
发现有不正常的 URL 请求被发出
修改 URL 前缀换成目标站点IP成功访问打开 管理员 后台
尝试输入 管理员 密码进行登陆（成功）
这个管理界面功能就非常丰富了
至此测设结束（笑~）
结论
本次测试可以成功的原因，主要在于该站点未开启 WAF 或配置不当。一般情况下的 WAF 可防止大部SQL与XSS注入。
来源地址：https://blog.csdn.net/qq_38431115/article/details/127414087
免责声明：
① 本站未注明“稿件来源”的信息均来自网络整理。其文字、图片和音视频稿件的所属权归原作者所有。本站收集整理出于非商业性的教育和科研之目的，并不意味着本站赞同其观点或证实其内容的真实性。仅作为临时的测试数据，供内部测试之用。本站并未授权任何人以任何方式主动获取本站任何信息。
② 本站未注明“稿件来源”的临时测试数据将在测试完成后最终做删除处理。有问题或投稿请发送至: 邮箱/279061341@qq.com QQ/279061341
