前几天刚说完LBS,又要说dlog?其实我对asp的blog程序没什么研究,只是刚才VictorWoo给了我一个他写的Sql injection的全过程演示,我意外发现他本身使用的blog系统就有sql injection漏洞,在我告诉他之后他说作者已经修复了,这让我很奇怪。同时我把他的rss加入到FeedDemon后,发现channel的标题和link都不正确。这给我传递一个消息是:可能title和link被硬编码了,于是我想下载源代码来看一看。

在继续之前我提一下,其实这些免费的程序都是作者自己在使用的,只是因为好用有网友也需要同样的系统他们才发布给大家免费使用。不管有任何漏洞,我们首先应该感谢作者的劳动,在你们的系统内保留dlog的原始链接。

于是我就google了dlog,找到最原始的站点,破废墟,这个名字很熟悉,好像大头绿豆用的就是这个系统,他以前有在鼓浪听涛Blogger板块介绍过。进入dlog相关栏目,我看到这么一篇文章 发现严重的SQL注入漏洞,看来虽然发现较晚,但至少是已经修复了呀,不过修复的方法不是太专业。但是。。。当我下载了dlog查看了一下源代码。。。ft,修复只是修复了一个,到处都是Sql injection漏洞,看来这个修复不但没有修复,还传递了一个让人误以为安全的信号。

很明显是作者没有搞明白什么是Sql injection,Sql injection漏洞的核心就是:永远不要相信用户的输入,所有的Request都需要Filter。

其他的我就不说了,总之,还是那句话,我是不敢用的。

在这里提醒要继续使用dlog的网友,因为是access数据库,所以安全性问题应该不会很大,请立刻修改你们的admin密码,越复杂越好,不要跟你任何一个邮箱或者别的系统的密码一样。请立刻备份数据库系统。

这又让我想起oblog,也是最近,有人邀请我在一个Sharepoint blog上blog,我发觉他们使用的oblog很有特点,可以对单篇blog加密,就随便测试了一下,至少找到几个问题,一是rss2.asp有注入漏洞,二是如果你隐藏了整个blog,但是rss2.asp还是会把所有信息都显示出来(这只能算是一个bug)。。。只是oblog是商业版本。。。还是sql版本,花了钱买了漏洞。。。