pymssql中执行sql sever为什么会乱码_禅道免登陆SQL注入漏洞复现

一、漏洞简介

该漏洞影响版本为禅道8.2--9.2.1，禅道项目管理软件集产品管理、项目管理、质量管理、文档管理、组织管理和事务管理于一体，是一款功能完备的项目管理软件，完美地覆盖了项目管理的核心流程。漏洞出现在系统orm框架中，在拼接order by的语句过程的时候，未对limit部分过滤并直接拼接，导致攻击者构造执行SQL语句。在mysql权限配置不当的情况下，攻击者可利用该漏洞获取webshell。

二、环境搭建 1 . 测试环境下载地址： https://www.zentao.net/download/80035.html ，下载完成以后点击进行安装操作 2 . 安装成功后会在D: \111111\ 下面生成一个x a mpp的文件夹 3 . 进入x a mpp文件夹，点击start.exe文件，点击“启动”按钮，显示正在运行。