 3 r3 Z. k v4 V( U# K
2月27日，国家信息安全漏洞共享平台（CNVD）的漏洞列表收录了两个新的SQL注入漏洞——CNVD-2019-04308和CNVD-2019-05341根据CNVD公布的信息来看，这两个漏洞的危害级别均被评定为“高”，且为攻击者获取数据库敏感信息创造了条件。
$ \2 r' A8 w% @! j7 e 所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器以执行恶意SQL命令的目的具体来说，它是利用现有应用程序，将恶意SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入恶意SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。 ! U) f, a6 e4 S
从漏洞描述我们得知，这两个漏洞分别会影响到国内两家网络公司的建站系统——济南白菜网络技术有限公司（一家致力于互联网品牌建设与网络营销的公司）和中山市商友网络科技有限公司（一家从事网站建设、技术外包、WAP手机网站建设、微信及小程序定制开发、系统UI及平面设计、PHP系统开发、网易企业邮箱的公司）。 $ ]; Y* F& Y! I5 Z. ~. i5 q
“济南白菜网络技术有限公司建站系统sh***.php和ne***.php页面存在SQL注入漏洞，攻击者可利用该漏洞获取数据库敏感信息”CNVD在漏洞描述中写道，“中山市商友网络科技有限公司建站系统存在SQL注入漏洞，攻击者可利用该漏洞获取数据库敏感信息。
, Q1 s8 U/ d% \: T6 f ”   / z4 h& l9 `7 v" @3 v6 v! f
值得注意的是，CNVD表示它已确认并复现了其所述的情况，且已通过电子邮件向受漏洞的两家公司进行了通报，但到目前为止这两家公司尚没有发布相关的解决方案或补丁。
2 G& q& b; ]/ w2 w. f8 v% X2 k' x+ V9 A' H# A" f9 e
% I5 p: s* U7 w, m0 E$ z+ o+ i4 e
0 V' y. Y3 ]1 g1 p
! {" A8 T% Q" N" E
| 
