在mapper文件中,发现了一个$符号
Mybatis配置文件中,使用【#】符号对参数进行预编译,使用【$】是对参数进行拼接,同时我们还要知道:order by无法进行预编译
跟下代码,在路由中找到了对应的请求
查看了实现类
在查询处直接抓包即刻进行SQL注入,太简单了,就不多说了。
JAVA 漏洞靶场:https://github.com/tangxiaofeng7/SecExample
本文始发于微信公众号(白帽子飙车路):代码审计连载-SQL注入漏洞
- 左青龙
- 微信扫一扫
- 右白虎
- 微信扫一扫
评论