发布日期：2004-12-15
更新日期：2004-12-17

受影响系统：

Ikonboard.com ikonboard 3.1.3
Ikonboard.com ikonboard 3.1.2
Ikonboard.com ikonboard 3.1.1
Ikonboard.com ikonboard 3.1.0

描述：

---

CVE(CAN) ID: CVE-2004-1406

Ikonboard是一款基于WEB的BBS程序。

Ikonboard对用户提交的参数缺少充分过滤，远程攻击者可以利用这个漏洞进行SQL注入攻击，可能获得敏感信息。

"ikonboard.cgi" 对"st"和"keywords"参数缺少充分过滤，提交包含恶意SQL命令的数据作为参数，可更改原来的SQL逻辑，可能获得敏感信息或修改数据库。

<*来源：Alexander Anisimov （anisimov@ptsecurity.com）
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=110321654705580&w=2
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

Alexander Anisimov （anisimov@ptsecurity.com）提供了如下测试方法：

http://host/support/ikonboard.cgi?act=ST&f=27&t=13066&hl=nickname&st=1'

http://host/support/ikonboard.cgi?act=Search&CODE=01&keywords='&type=name&forums=all&search_in=all&prune=0

建议：

---

厂商补丁：

Ikonboard.com
-------------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.ikonboard.com

浏览次数：3300
严重程度：0（网友投票）