### 简要描述： 最近很喜欢从已公开的漏洞中找漏洞，看看哪些厂商修复的时候不够仔细认真。。。 ### 详细说明： 缘起这个漏洞 [WooYun: 金蝶网重要分站sql注射漏洞](http://www.wooyun.org/bugs/wooyun-2014-070915) ，之前报的是显错注入，乍一看厂商好像已经修复了，实际测试之后发现还是可以盲注的，但是需要多参数配合进行注入。 漏洞所在分站：http://reg.kingdee.com/getpass.asp 产品注册页面，表单提交的数据如下： [<img src="https://images.seebug.org/upload/201412/151229488411c2da4baecf375746b2dafb1a20de.jpg" alt="11.JPG" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/151229488411c2da4baecf375746b2dafb1a20de.jpg) 由于不知道真实的产品序列号和email，所以没办法定位条件为真时的数据，刚好有两个参数，两个参数都存在注入，所以可以让userid永真，payload为userid=1212121'%0aor%0a'1'='1，这样email就可以正常进行基于and的布尔盲注了。 看图： [<img src="https://images.seebug.org/upload/201412/15123441d38e9cdb8f7e3837adcb55ed5a70342c.jpg" alt="12.JPG" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/15123441d38e9cdb8f7e3837adcb55ed5a70342c.jpg) 网站有狗和360webscan，所以sqlmap跑不了，只能手工作业了。 判断用户名长度为3： [<img...
### 简要描述： 最近很喜欢从已公开的漏洞中找漏洞，看看哪些厂商修复的时候不够仔细认真。。。 ### 详细说明： 缘起这个漏洞 [WooYun: 金蝶网重要分站sql注射漏洞](http://www.wooyun.org/bugs/wooyun-2014-070915) ，之前报的是显错注入，乍一看厂商好像已经修复了，实际测试之后发现还是可以盲注的，但是需要多参数配合进行注入。 漏洞所在分站：http://reg.kingdee.com/getpass.asp 产品注册页面，表单提交的数据如下： [<img src="https://images.seebug.org/upload/201412/151229488411c2da4baecf375746b2dafb1a20de.jpg" alt="11.JPG" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/151229488411c2da4baecf375746b2dafb1a20de.jpg) 由于不知道真实的产品序列号和email，所以没办法定位条件为真时的数据，刚好有两个参数，两个参数都存在注入，所以可以让userid永真，payload为userid=1212121'%0aor%0a'1'='1，这样email就可以正常进行基于and的布尔盲注了。 看图： [<img src="https://images.seebug.org/upload/201412/15123441d38e9cdb8f7e3837adcb55ed5a70342c.jpg" alt="12.JPG" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/15123441d38e9cdb8f7e3837adcb55ed5a70342c.jpg) 网站有狗和360webscan，所以sqlmap跑不了，只能手工作业了。 判断用户名长度为3： [<img src="https://images.seebug.org/upload/201412/15123601f6f870e2d61561f83360165cdb16cb15.jpg" alt="14.JPG" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/15123601f6f870e2d61561f83360165cdb16cb15.jpg) 然后通过 email=qq%40qq.com'%0aand%0aascii(substr(SYS_CONTEXT('USERENV','CURRENT_USER'),1,1))=1%0aAND%0a'qX'='qX 逐位判断，不多说，大家都懂的。 ### 漏洞证明： 以上，求高分
