U-Mail注入之任意代码写入exp

u-mail中某个文件由于参数过滤不严谨导致产生了SQL注入,通过此漏洞可以将shell写入到web目录下,可批量getshell。
Baidu & Google Keywords:
————————————————————-
Power by U-Mail *
精准反垃圾,有效过滤超过98.6%的垃圾邮件 *
病毒邮件有效拦截率超过99.9%; *
*
等等…自由构造! *
————————————————————-
漏洞利用:
要想写入shell必须知道其物理路径对吧,可通过此方法获取物理路径,当然这只是鸡肋爆路径,大家还可以继续研究:

得到物理路径:E:\umail\WorldClient\html\userapply.php

将其base64加密一下,记得路径是“/”,而不是”\”
得到:

就将shell写进了web目录中,shell地址:

password:shell

然后菜刀链接

原文链接:,转发请注明来源!

发表评论

要发表评论,您必须先登录