Drupal 7.31爆严重SQL注入漏洞【附利用】

今早有国外安全研究人员在Twitter上曝出了Drupal 7.31版本的最新SQL注入漏洞,并给出了利用的EXP代码,小编在本地搭建Drupal7.31的环境,经过测试,发现该利用代码可成功执行并在数据库中增加一个攻击者自定义的用户。

测试代码:

1413424230142

 

14134242627843

新版下载:

https://www.drupal.org/drupal-7.32

参考:http://www.freebuf.com/vuls/47271.html

91ri.org小编注:可能很多人都对这个新密码生成很好奇,实际上看了下代码,加密方式是存放在includes/password.inc这里的。当然你也可以自己生成一个password来修改。方法如下:

在php环境下的控制台执行:php password-hash.sh ‘123456’>pwd.txt,那么就会生成一个pwd.txt文件,里面记录了对应123456的加密密码了,如图:

pwd

 

password-hash.sh 这个文件是在官方安装包里的~