对某私服页游的SQL注入安全测试

站点信息

登陆页面：http://9*.9*.9*.9*:99/index.php
充值后台：http://o*.****.com:99/login.php（后面发现并非同一个站点）

目标

登陆管理员账户并实现物品发放

0x01

先使用 wafw00f 扫描目标站点是否启用了 WAF
登陆页面站点：无 WAF 配置
对充值后台尝试手动寻找SQL注入，点结果被WAF拦截
通过ip查询发现两个站点并不相同

尝试对游戏站点url添加 phpinfo.php （成功）
很幸运管理员安全意识并不高成功获取信息
根路径：

通过百度搜索后发现了与游戏相关的源码链接

不知道为啥网页打不开了。。。

里面大概介绍了
1.游戏服务器的架设方法数据库端口密码
2.给出了管理员和超级管理员的url以及默认的账号密码
超级管理员 url/gsh/login.php
管理员 url/gaao/login.php

回到游戏目标站点进行测试
超级管理员 地址可以正常打开但密码错误，大概率以及被修改
管理员 地址无法访问
数据库 密码错误地址端口正确
得出结论目标站点使用的确实为该套源码

将源码下载后使用代码审计工具扫描后分析代码
找到如下漏洞：

该变量没有进行严格过滤且进行了SQL查询。（存在SQL注入点）

尝试在目标站点尝试打开注入点所在页面（成功）

使用sqlmap进行验证（注入点存在）

直接使用指令提取 管理员 与 超级管理员 账户密码（密码也是明文真够方便的）

首先尝试登陆已知的 超级管理 员后台（成功）

由于这个超级管路员后台功能过于单调无法满足游戏实际需求
开始寻找普通的管理员后台

对超级管理有台功能进行测试时
发现存在的 存储型xss注入点
发现有不正常的 URL 请求被发出

修改 URL 前缀换成目标站点IP成功访问打开 管理员 后台

尝试输入 管理员 密码进行登陆（成功）

这个管理界面功能就非常丰富了
至此测设结束（笑~）

结论

本次测试可以成功的原因，主要在于该站点未开启 WAF 或配置不当。一般情况下的 WAF 可防止大部SQL与XSS注入。