交友热线系统漏洞

官方: www.5256.net
程序下载： http://down.chinaz.com/soft/4508.htm

软件介绍
主要功能
1.  用户在线注册，上传照片及修改个人资料等功能。
2.  用户有留言版等基本功能。
3.  版主在线修改，删除，更改资料等功能。
3.  在线查询功能。
4.  用户多种排行榜

漏洞：

1,后台万用密码，可以直接登录

‘ or ’1′ = ’1′ or ’1′ = ’1

（如果魔法开关开着的则不行）

2,头像可以上传shell

修改上传数据包的文件类型为 image/gif, 可以直接上传shell

保存路径为： /photo/http://www.hack1990.com 用户名/help.php(文件名)

3,注入

有兴趣的，可以找下，我看了下，主要应该有。没什么意思就不看了