인사 관리 시스템 1.0

제출자: Kha Do

취약점

SQL 인젝션

설명

SourceCodester 인사 관리 시스템 1.0의 /hrm/country.php에서 발견된 SQL 인젝션 취약점으로, 공격자가 searccountry 매개변수를 통해 임의의 SQL 명령을 실행할 수 있습니다.

영향을 받는 구성 요소

경로 URL: /hrm/country.php

매개변수: &searccountry=[inject here]

영향

이 취약점으로 인해 공격자는 searccountry 매개변수를 통해 임의의 SQL 명령을 실행할 수 있습니다.

PoC

잘못된 조건 ' and '1'='2'#으로 국가를 검색하면 결과가 반환되지 않습니다:

그리고, 잘못된 조건 ' and '1'='1'#으로 국가를 검색하면 모든 결과가 반환됩니다: