SourceCodester edoc-doctor-appointment-system系统的/admin/patient.php 文件中存在SQL注入漏洞
未对传入的参数进行过滤,会导致如下SQL注入漏洞
通过
https://github.com/HashenUdara/edoc-doctor-appointment-system
下载源码 进入github:
https://github.com/HashenUdara/edoc-doctor-appointment-system 安装启动XAMPP 启动mysql和apache 进行漏洞环境搭建
进入admin的页面
点击搜索进行抓包
使用payload: Test+Patient+'AND+5719=5719+AND+‘FiDu’='FiDu进行测试
返回正确查询,存在SQL注入
并可以通过sqlmap进行利用。