第57章 订单系统风波（1/2）

2001年9月广州

暑气还没褪尽，烈士陵园旁的红棉树缀着零星新叶。

我们从青岛时装周回来没几天，eva就约我见面，说是有重要的事情。

在羊城晚报集团大楼一楼的咖啡厅，eva穿米白色职业套装，手里攥着《中国时装》最新刊，封面上的刺绣旗袍在阳光下泛着柔光。

“刘军，集团要给杂志做网站了。”

她把杂志推到我面前，内页夹着张手写的需求清单.

“不只是放些文章，得能让客户在线下单，比如订杂志合订本、预约时装秀展位。但我们编辑部没人懂技术，想请你做技术顾问，全职驻场三个月，薪水按行业三倍算。”

我笑道：“现在还是网益公司的骨干员工，怎么可能全职驻场呢。我只能抽时间进行指导，可以利用周末时间先培训你们公司人员。”

eva捂住嘴，说道：“是啊，我倒把这忘了。回去我跟领导汇报。”

我指尖敲了敲清单上“服务器搭建”几个字：“你们想要自建服务器还是托管？国内托管服务商里，万网的机柜稳定性不错，珠江新城那边还有电信的机房，延迟能控制在 50ms以内。”

eva眼睛亮了亮，从包里掏出笔记本：“我们听技术的。但集团有要求，域名得含‘chinafashion’，还要备案——上周问过羊城晚报的技术部，他们说备案得找省通信管理局，可能要一个月。”

“域名注册我熟，中国频道现在能实时注域名，先抢注‘chinafashion的下域名’，再同步走备案流程。”

我拿过她的笔，在纸上画了个简单架构图。

“前端用+css，后端选 ruby 1.6.的订单页面，屏幕却跳出乱码，夹杂着“or 1=1--”的字符。

“怎么回事？”

eva的声音有点慌。

我立刻远程登录服务器，打开 apache的 ess.log——里面全是异常请求，比如“\/order.php?id=1 or 1=1--”。

“是 sql注入。”

我快速切换到 mysql命令行，输入“select * from orders where id =1 or 1=1--”，果然查出了所有订单数据。

“攻击者用拼接 sql语句的方式，绕开了登录验证。还好我们之前教你的参数化查询，大部分模块都防住了，只有老编辑写的查询页面没改。”

我先把有漏洞的页面下架，换成静态提示页，然后用 traceroute命令追踪攻击 ip。