WooYun.org

西安恩科电子政务jsp系统，由于对后台登录功能过滤不当，导致存在sql注入，直接可以进入后台。后台上传功能，使用本地白名单验证，直接得jspshell。获得系统权限。
客户端验证代码
function IsValid( oField )
{
re= /select|insert|chr|mid|master|truncate|char|update|or|delete|exec|count|'|"|=|;|>|<|%/i;
$sMsg = "请您不要在参数中输入特殊字符和SQL关键字！"
if ( re.test(oField.value) )
{
alert( $sMsg );
oField.value = '';
oField.focus();
return false;
}
}
可以说防范的很好，可以防止sql注入。但是客户端所做的都是浮云...
后台验证代码checklogin.jsp
if(request.getParameter("userName")!=null){
if(userName.startsWith("<")||(userName.startsWith("<")&&userName.endsWith(">"))||userName.startsWith("'")||userName.startsWith(" ")||userName.contains(" or ")){
out.print("alert('不是有效的帐号，请重新输入！');");
out.print("history.back();");
}else{
在checkuser.class中验证代码:
if ((this.loginName == null) || (this.loginName == "") || (this.userPsd == null) || (this.userPsd == "")) return false;
boolean turnvalue = false;
String sqlString = "select * from tb_sys_userinfo where loginName=" + this.sql.checkNull(this.loginName) +
" and password=" + this.sql.checkNull(this.userPsd);
int i = sqlString.indexOf(" or ");
if (i > 0) {
sqlString = sqlString.replace(" or ", " and ");
}
ResultSet rs = this.sql.getQuery(sqlString);
可以看出整个验证过程，存在sql注入，可以通过简单构造用户名和密码就可以，绕过验证代码，直接登录后台.