关键词：铁道部、1.9亿、12306、select *、like %%

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 4425 天前的主题，其中的信息可能已经有所发展或是发生改变。

http://weibo.com/1495169251/yDOqZChg9

http://www.wooyun.org/bugs/wooyun-2010-012758

select

14 条回复 • 1970-01-01 08:00:00 +08:00

x86

2012-09-27 16:02:11 +08:00

还记得当年的绿坝吗

Air_Mu

2012-09-27 16:07:28 +08:00

虽不明仍觉利

nigelvon

2012-09-27 16:11:06 +08:00

关键不是like%%，关键是sql是直接字符串连接，没有对引号转义。

twm

2012-09-27 16:12:00 +08:00

实习生写出来的？还是临时工？

dongbeta

2012-09-27 16:12:17 +08:00

你们都错了，亮点在 “今天 15:02 来自360安全浏览器 ”

summerblue52

2012-09-27 16:55:07 +08:00

googog

loading

2012-09-27 17:03:30 +08:00

留名

napoleonu

2012-09-27 17:04:22 +08:00

自重：6
载重：6%' or 1=1 or ziz like 'a

select * from TB_INFO_CLCS where flag = 'Y' and czdm ='G' and ziz like '%6%' and zaz like '%6%' or 1=1 or ziz like 'a%' order by cxdm

一个很小的表，才200多行，like也无所谓。

CoX

2012-09-27 17:10:40 +08:00

@dongbeta 这个我也有看到

sun019

2012-09-27 17:19:39 +08:00

这个是另外个系统吧和订票系统貌似无关啊

zxwind

2012-09-27 17:28:21 +08:00

其实我最想说的是自重不应该是个数值数据么

clowwindy

2012-09-27 18:56:37 +08:00

Hibernate 都能用成这样，佩服。

snail2

2012-09-27 19:29:46 +08:00

2012-09-27 18:14 | Vi0lent ( 普通白帽子 | Rank:131 漏洞数:14 | hello fuck~) 0
这其实是个励志故事，告诉我们只要坚持，在烂的程序员都可以写到亿级别的项目的.鉴定完毕！

falconeye

2012-09-28 09:54:23 +08:00

昨天一个朋友离职了，跟说，老板根本不在乎项目做的怎么样，做成啥样他都能拿钱，他在乎的是成本！成本！