千博企业网站管理系统是一套比较常见的企业网站管理系统，很多市面上的企业网站都是改它的源码而来的。它的ASPX版本是封装起来的，就是说很多东西是放进DLL里面的，因此给查看源代码带来了难度。漏洞出现的版本是2011版的了，网上挺多的，其实想要说的重点是在后面的GetShell，很有技巧。* \* ~) X- C' T! n. P
+ t2 @% o. e' h8 K9 b: M+ w 4 w' o# ^0 N7 y' C; F2 V
; B5 s- [0 @7 `5 j0 h" \ / ~+ U; q; p9 P4 s I5 d- V Y
漏洞名称：千博企业网站管理系统SQL注入
( }! Q) }6 ]3 x; {测试版本：千博企业网站管理系统单语标准版 V2011 Build0608& m3 _6 X+ P$ l, X% a
漏洞详情：由于搜索处未对输入进行过滤，导致SQL注入。出现漏洞的文件名是：Search.Aspx。9 E: Q7 U! C, {8 f8 {( ?( Y' ?8 j
漏洞验证：
5 W5 A0 I7 c0 V& h& Q5 P" d, Z
4 ], B+ |8 }! T' q1 C2 V4 r访问http://localhost/Search.Aspx?sid=2&keyword=%' and '%Jarett%'='%Jarett,返回所有内容
( S: y: O- ?, \3 Y, O- Q7 j+ c" l @+ `访问http://www.xxx.com/Search.Aspx?sid=2&keyword=%' and '%Jarett%'='%sb，返回为空2 A! z+ @- X8 K5 P, b
) V& X' M8 K9 a+ q3 f那么就是存在注入了，不过可能无法直接union出来，要折半查找，慢慢手工刷吧，不一会儿，就刷到你脑残了。, n, w, t2 v3 S& g& N
: ~+ P, H- s; c/ z
. g4 R. V9 D( t 0 n6 U& A7 R# F1 S3 |: L( B
得到密码以后一般直接加个admin目录就是后台了，不出意外的话，而且进入了后台以后，不出意外的话，你是无法GetShell的，但是本地测试时发现了个一个很有技巧的GetShell方法。这个系统使用了eWebEditor，但是无法直接利用，已经经过二次DLL封装处理的了。直接访问:
: E/ F$ ]: O' G% C8 d& d
2 p8 D; k+ Y( `' {http://localhost/admin/Editor/aspx/style.aspx( a# o5 U" _4 V: d
是无法进入的，会带你到首页，要使用这个页面有两个条件：
0 |2 M) @8 m8 B, S8 Q, j1.身份为管理员并且已经登录。
0 O3 k7 c4 N, A: H& D+ i- X7 T9 v+ @$ d2.访问地址来源为后台地址，也就是请求中必须带上refer:http://localhost/admin/
* v8 N& ]% `/ b( c
# R" @( }8 M# f; m现在我们第一个条件已经有了，只需要使用火狐的插件或者其他插件来伪造一个refer头就可以直接进入样式管理接口：
0 A; z1 L, @9 D, z# V) j- p+ b
9 a7 K& i4 t2 K: {http://localhost/admin/Editor/aspx/style.aspx
% N! v9 b9 \% N- i7 ^+ Y& t7 b剩下的提权应该大家都会了。- Z1 @& q) u/ L- A- T9 i6 `
9 V6 E$ n( Y% |4 D) P1 K5 ?) j
之所以发出来是因为这个提权方式真的很特别，如果不是本地测试偶然发现，我相信没有多少人会去试一试加refer头。也算是奇葩GetShell了 ) ~( Z- u9 k5 s2 y' J3 [6 l8 t
6 a; e" C6 X" m& M
% ^2 K @( V" M/ M4 F1 w3 i
) Q8 q6 d) R1 d- _+ F; V
提供修复措施：/ ?5 h) G. i* l1 r. U, P! M
; V6 Y# r3 \# x5 e; W- @加强过滤
2 v- E9 f9 n' f! l7 p) s
! ~1 g1 P$ K, v |
发表于 2013-1-26 17:55:20
收藏
支持
反对