爱家房产网系统 Sql Injection#

admin

漏洞文件发生在buyshow.php中7行

1. 
   
2. if(empty($_GET['id'])) header("location:buy.php");
   
3. $YID=htmlencode2($_GET['id']);
   
4. $exec="update yxq set YCS=YCS+1 where YZM=$yimaoid and YID=$YID and YLX='求购'";
   
5. $result=mysql_query($exec);

复制代码

GET方式接收参数，然后用htmlencode2函数过滤就带入数据库了，由于这个函数不能防御sql注入，所以造成漏洞。

谷歌关键字：

游客，如果您要查看本帖隐藏内容请回复