返回信息流漏洞类型：
SQL注入
相关网站：
鲜次元
问题描述：
鲜次元网站存在sql诸如漏洞，其数据库存储这部分同学的教务账号
漏洞详情：
之前就发现鲜次元网站存在sql注入漏洞，搞到了mysql的root账户加密后的密码，一直无法解密。今天闲来无事进一步测试，发现其中有一个数据库名为a1015151118，里面的user表存储这用户信息，但是存在password、xuehao、byrpassword和jwcpassword。惊呆了，莫非包含了学号、北邮人密码和教务处密码。用户的北邮人账号不清楚，所以北邮人密码也用不上，就试试教务处网站。
password字段是加密的但是有部分可以简单解出来。学号已经有了，jwcpassword字段好多是空的，就用password字段解密后作为教务处密码。试了几个账号，有一个成功了，而且还是朝鲜族美女。后面又成功登录了几个账号，懒得继续试下去了。
虽然同是计算机学院的学生，我还是想问问鲜次元的开发者，这些信息是怎样泄漏到鲜次元的？
第一期：学生收费查询系统http://bbs.byr.cn/#!article/WWWTechnology/24212
第二期：如何查看女神照片http://bbs.byr.cn/#!article/WWWTechnology/24215
第三期：摄像头这么diaohttp://bbs.byr.cn/#!article/WWWTechnology/24327
第四期：一大波访问控制问题http://bbs.byr.cn/#!article/WWWTechnology/24398
第五期：教务账号外泄到鲜次元http://bbs.byr.cn/#!article/WWWTechnology/24483
这是一条镜像帖。来源：北邮人论坛 / www-technology / #24483同步于 2014/4/6
该镜像源已超过 30 天没有更新，可能在源站已被删除。
WWWTechnology机器人发帖
【扒一扒北邮的安全问题】教务账号外泄到鲜次元
yellowxz
2014/4/6镜像同步3 回复
订阅后，新回复会通过你的通知中心匿名送达。