引言
本文记录了一次对某通用供应链管理系统前台基于时间盲注的SQL注入漏洞的挖掘，存在漏洞的接口是登录功能，其中的用户名参数存在SQL注入。
漏洞挖掘
前台登录接口抓包，尝试构造单引号，发现系统做了防注入防护，返回 非法字符注入失败 页面。
这种情况尝试构造时间盲注，看看页面是否会有响应延迟，构造Payload root';WAITFOR DELAY '0:0:3'-- ，延迟3秒，返回包时间约为5秒。
构造Payload root';WAITFOR DELAY '0:0:5'-- ，延迟5秒，返回包时间约为7秒。
猜测可能存在时间盲注，使用sqlmap测试，发现确实存在时间盲注，且可利用获取数据。
总结
相关漏洞信息已提交给对应人员或平台，此漏洞已提交给CNVD平台。