正方教务系统新版sql注入漏洞利用工具
相信研究过正方教务系统的朋友看到过网上传播的比较多的一篇文章提的/service.asmx中的BMCheckPassword存在注入，然而现在大多数正方教务已经将BMCheckPassword移除了，导致漏洞无法利用。本人研究了/service.asmx中的其它接口，发现zfcwjk1存在同样的注入漏洞，特将注入方法写成工具供大家学习参考。zfcwjk1似乎是一个财务类的确认接口，利用起来稍微麻烦点，需要一个目标学校的任意学号。程序执行后，会需要用户输入三个参数。分别是：1.目标网址2.目标学校的任意学号3.年份(估计是用来确定这个学号所在年份的情况，随便填个2012或者2013，不行再换）若提示“cannotaccesstargeturl”
用户评论
python2显示错误 input target url:http://183.169.128.8/ input xuehao:2015090129 input xuenian:2015 ack (most recent call last): "ZFPWD.py", line 123, in aders,body=get_headers_body(url,xn,xh) "ZFPWD.py", line 69, in get_headers_body s=ret[0].find('\r\n\r\n') rror: list
您好，可以加您下QQ么
py2可以运行
语法错误，运行不了。