再战嘉缘人才系统
来源：红狼
发表于《黑客手册》0802期
再战嘉缘人才系统
图/文
Cool_wXd
前段日子无聊的时候简单看了看嘉缘人才系统的程序，今天在站长站上看到嘉缘人才系统有更新了，而且也说修改了以前所发现的Bug,所以便下载一套最新版的，下面来看看我对这套系统的分析吧，版本为嘉缘人才网站管理系统 v6.0.1207 精简版。
虽然简介中说补上了已知漏洞，不过在检测过程中还是发现了几个注入漏洞，下面那我们就以其中一个注入漏洞为例说说这套系统的注入漏洞，来看看person/person_sendresume.asp的代码吧。这个文件就有几处注入漏洞，我们看其中的一个吧，行147-152，如下：
resumeid=request("resumeid")
阅读全文 »
