有意迟几天放出来这篇文章以及程序，不过看样子Drupal的这个洞没有引起多少重视，所以我也没有必要按着不发了，不过说实话这个洞威力挺大的，当然，这也是Drupal本身没有意料到的。
0x00
首先，这个漏洞真的很大，而且Drupal用的也比较多，应该可以扫出很多漏洞主机，但是做批量可能会对对方网站造成很大的损失，所以我也就只是写个Exp。不过，这个洞好像不怎么被重视，这也是极为不合适。...
分类：
数据库 时间：
2014-10-21 17:43:59
阅读次数：
347
这个漏洞昨天爆出的 ，今天才有时间看代码。
在Drupal中，执行sql语句都是使用PDO模型进行的，这样做一般来说是可以规避大多数的注入，因为占位符的使用对sql语句的语法进行了限制。
但是这也不意味着绝对的安全，比如这次的漏洞。
在Drupal的user模块中，找到user.module：
$account = db_query("SELECT * FROM {users} WHERE...
分类：
数据库 时间：
2014-10-17 15:31:02
阅读次数：
309
今早有国外安全研究人员在Twitter上曝出了Drupal 7.31版本的最新SQL注入漏洞，并给出了利用测试的EXP代码。在本地搭建Drupal7.31的环境，经过测试，发现该利用代码可成功执行并在数据库中增加一个攻击者自定义的用户。测试代码：（请勿用于非法用途）POST/drupal-7.31/...
分类：
数据库 时间：
2014-10-16 15:32:22
阅读次数：
260
第一步：安装LNMP在CentOs环境下lnmp一键安装/var/www/htmlubuntu/var/www1)#wget-chttp://soft.vpser.net/lnmp/lnmp0.9-full.tar.gz2)#tarzxvflnmp0.9-full.tar.gz3)#cdlnmp0.9-full/4)#./centos.sh2>&1|teelnmp.log域名为：localhost设置mysqlpasswd:defaultroot：roo..
分类：
其他好文 时间：
2014-10-15 15:07:21
阅读次数：
373
启用:一、建立使用者账号①。configuration-->Development-->Generateusers二、建立测试资料②。configuration-->Development-->Generatecontent三、执行php的一些区块③。structure-->blockDisabled下面的ExecutePHP四、切换不同的使用者③。structure-->bl..
分类：
其他好文 时间：
2014-10-13 17:14:30
阅读次数：
285
一、安装下载网址：https://www.drupal.org/project/views依赖模块：Chaostoolsuite(ctools)https://www.drupal.org/project/ctool二、使用
分类：
其他好文 时间：
2014-10-13 15:26:30
阅读次数：
264
声明：以下步骤在drupal7下测试通过(将gmail换为有smtp 服务器的sina邮箱可以发送邮件)1.下载smtp模块：http://drupal.org/project/smtp(link is external)2.解压模块,并在drupal下安装smtp模块。3.配置stmp服务器：ad...
分类：
其他好文 时间：
2014-10-09 01:37:27
阅读次数：
215
drupal6和drupal7的主题开发有很大不同，本指南包含了这些不同drupal7的默认主题是Bartik，6的是Garlanddrupal的主题系统是如何工作的这部分内容主要讲述的是drupal主题的工作方式，主题的组成和设置，.info文件和模板页。本部分是开始创建自定义主题的一个起点主题文...
分类：
其他好文 时间：
2014-10-05 07:27:37
阅读次数：
231
Drupal 7 模块开发，创建自定义表。hook_schema 详细说明，通用数据类型分析。...
分类：
其他好文 时间：
2014-10-02 10:03:42
阅读次数：
297
Drupal 7 模块开发，为模块建立帮助文档，使用 hook_help，及参数 arg() 介绍...
分类：
其他好文 时间：
2014-09-30 07:18:42
阅读次数：
232
