WooYun.org

通用性的案例请详见：
1. http://wooyun.org/bugs/wooyun-2015-091289
2. http://wooyun.org/bugs/wooyun-2015-091290
3. http://wooyun.org/bugs/wooyun-2015-091291
4. http://wooyun.org/bugs/wooyun-2015-091292
5. http://wooyun.org/bugs/wooyun-2015-091293
官网gov客户列表：http://www.asp168.com/default.php?mod=article&fid=47 教育医疗公检法等客户用例可以点相应的栏目查看。
以下列举部分客户，客户列表可以直接在上述url中查看，包括政府门户、公检法、教育、医疗、企业、媒体等栏目客户。
gov：
POST http://www.tzpolice.gov.cn/getjwj.php?op=1
DATA id=1[sqli]
POST http://www.tzpolice.gov.cn/getjwj.php?op=1
DATA id=1[sqli]
www.yixing.gov.cn/getjwj.php?op=1&id=1
1. http://www.bzgt.gov.cn
2. http://www.chongchuan.gov.cn
3. http://www.yixing.gov.cn
4.http://www.huishan.gov.cn
5.http://www.ntgz.gov.cn/
6.http://www.anji.gov.cn
edu：
1.http://www.shsmu.edu.cn
2.http://www.lixin.edu.cn
3.http://www.sdju.edu.cn
4. http://eng.shift.edu.cn
5.http://www.njedu.gov.cn
公检法：
1.http://www.hnsqga.gov.cn
2.http://www.whga.cn
3.http://www.pingpinganan.gov.cn
4.http://www.ahga.gov.cn
5.http://www.ntga.gov.cn
等等

漏洞文件：getjwj.php
<?
//同步边框和标题，解决上海网通连不上河南网通数据库问题
require_once('common.php');
if ($op == '1')
{
        $sch = array();
        $query = $db->query("select * from oho_borderlist where id>".$id."");
//变量id没有单引号干扰，需要跟踪下从哪里传递进来
        while($rt =$db->fetch_array($query))
        {
                $sch[] = $rt;
        }
        echo serialize($sch);
}
…
?>

发现是include了common.php这个文件，common.php中包含了一个伪全局变量定义函数：

_chk_char方法是一个全局变量过滤函数，会过滤一些特殊字符，不过暂时不需要绕过，因为POST过来的参数只过滤了key未过滤value。
所以漏洞文件：getjwj.php中的id可以通过POST方法传递，即造成了SQL注入漏洞。