ANTICHAT — форум по информационной безопасности, OSINT и технологиям

Есть сайт, он подвержен SQL инъекции, знаю потому что получил лог и пас от админки, но толку с этого мало, так как встроеный в админку загрузчик переименовывает любой фаил по шаблону целиком в .gif Сервер же со своей стороны не дает возможности исполнять gif. Так же хостер (или админ) не дурак и прав у юзера SQL базы недостаточно на чтние /etc/password, выдает пустой экран, в смысле сюль рагирует позитивно но ничего не сгружает (проверял фаер багом на предмет скрытого теста, но пусто). Отсюда резонный вопрос, что посоветуете делать и как извернутся?

чуть не забыл на сервере включенный магические кавычки, но CHAR не лечит, как впрочем 16чная система, прав нет. залить, через sql то же не получилось, возможно что то не так делаю, собственно сам линк инъекции в студии
(попытка чтения етц)
Если резюмировать, то вопросов 2а, как надуть загрузчик фаилов или как правильно залить шел через SQL (MySQL)
Нe и конечно юзер скуль не роот(понятно почему он не читает /etc/passwd), ротового как найти незнаю, у хостера ниче так сайт я дырок ненашел... (mtw.ru)