azraelxuemo
azraelxuemo
如果你这样说，那我们可以认为所有漏洞都是不存在的，都是用户的非法输入，那要不明天就把cve官方关闭了??
我看了你这里，确实不好修，但你最少别直接把代码执行的结果返回给用户，返回给插件错误也行啊
如果认为不是漏洞，那我就直接公开了
这确实不太好解决，不过感觉尽量建议用户实际开disable_functions,这里确实比较敏感，然后建议返回结果就只写个插件异常
这里上传功能比较多，如果只需要css,js这种比较偏静态的，建议就使用白名单
就是最新的，但是可以绕过 ---原始邮件--- 发件人: ***@***.***> 发送时间: 2022年10月30日(周日) 下午3:33 收件人: ***@***.***>; 抄送: ***@***.******@***.***>; 主题: Re: [jeecgboot/jeecg-boot] /sys/duplicate/check存在sql注入漏洞 (Issue #4129) 你这个是哪个版本，针对注释这种我们处理过 — Reply to this email directly, view it on GitHub, or unsubscribe....
你们自己看我发的内容，里面你们加check了啊，但是check有问题，可以被bypass我已经说的很详细了，我是直接clone你们的项目 ---原始邮件--- 发件人: ***@***.***> 发送时间: 2022年10月30日(周日) 下午3:41 收件人: ***@***.***>; 抄送: ***@***.******@***.***>; 主题: Re: [jeecgboot/jeecg-boot] /sys/duplicate/check存在sql注入漏洞 (Issue #4129) 截图版本号 — Reply to this email directly, view it on GitHub, or unsubscribe....
okok好的好的，因为我看到的是checksql可以被绕过，所以就提出来了哈哈哈2333 ---原始邮件--- 发件人: ***@***.***> 发送时间: 2022年10月30日(周日) 下午4:22 收件人: ***@***.***>; 抄送: ***@***.******@***.***>; 主题: Re: [jeecgboot/jeecg-boot] /sys/duplicate/check存在sql注入漏洞 (Issue #4129) 改成这样就好了 — Reply to this email directly, view it on GitHub, or unsubscribe....
这个是我的版本号
我个人建议还是把sql注入里面的空格删掉 因为你们替换了/**/ 但还可以用()绕过 updatexml(1,(select(if(length("aaa")>5,1,sleep(10)))union select(1)),1) 所以索性你们就不替换/**/这些 然后直接把输入的整个字符串转成小写 判断有没有select,这种关键字 您看这样还是可以注入的 就算我修改了还是可以绕过的