千博企业网站管理系统是一套比较常见的企业网站管理系统，很多市面上的企业网站都是改它的源码而来的。它的ASPX版本是封装起来的，就是说很多东西是放进DLL里面的，因此给查看源代码带来了难度。漏洞出现的版本是2011版的了，网上挺多的，其实想要说的重点是在后面的GetShell，很有技巧。) y7 O# [! |) a+ ]/ _. O# d, i# p
: F7 f* S, E$ c8 {1 Z/ G
* }8 G* Y8 `: T, y
" Q0 T0 ]- ~7 F, t [
4 {2 H1 S0 ?* k0 h漏洞名称：千博企业网站管理系统SQL注入& w% \+ z' E, D! K* K, w
测试版本：千博企业网站管理系统单语标准版 V2011 Build0608& n. z! l; _8 {1 g$ \4 H6 `
漏洞详情：由于搜索处未对输入进行过滤，导致SQL注入。出现漏洞的文件名是：Search.Aspx。: y' J) G' Y& b8 U, C& M. I
漏洞验证：
3 }; \9 z3 T% G L9 | 3 m8 e7 K. R, }& P4 W
访问http://localhost/Search.Aspx?sid=2&keyword=%' and '%Jarett%'='%Jarett,返回所有内容/ N* E8 J t# j& g- R
访问http://www.xxx.com/Search.Aspx?sid=2&keyword=%' and '%Jarett%'='%sb，返回为空
* E3 C1 W3 y# a+ T1 g; ? Y 1 K* O) n2 z0 d: o; H! N! o
那么就是存在注入了，不过可能无法直接union出来，要折半查找，慢慢手工刷吧，不一会儿，就刷到你脑残了。
- U3 C, g( U1 H9 [' w" E8 U
, I" H6 a( [ P" o6 \1 q ( x' t& Z9 {! s) }
: n% l: _2 \. L" z& I得到密码以后一般直接加个admin目录就是后台了，不出意外的话，而且进入了后台以后，不出意外的话，你是无法GetShell的，但是本地测试时发现了个一个很有技巧的GetShell方法。这个系统使用了eWebEditor，但是无法直接利用，已经经过二次DLL封装处理的了。直接访问:: F% U( R Z2 r D, t6 ?
" [! W% T9 a8 I( E
http://localhost/admin/Editor/aspx/style.aspx0 {5 t2 b/ e a) _" E, M
是无法进入的，会带你到首页，要使用这个页面有两个条件：: Q7 C# l8 Y5 {( `0 _' z
1.身份为管理员并且已经登录。
9 N4 x8 P6 U" J5 i1 u6 a1 D2.访问地址来源为后台地址，也就是请求中必须带上refer:http://localhost/admin/
& l" T/ n8 J$ s4 K ! t6 \; l" I! B% S5 F
现在我们第一个条件已经有了，只需要使用火狐的插件或者其他插件来伪造一个refer头就可以直接进入样式管理接口：
3 X/ J, q5 P9 C( q1 p/ w7 c% b4 n
9 l" @* F7 k3 T) ?) c5 \http://localhost/admin/Editor/aspx/style.aspx3 j0 d$ F) e- J! `1 Z4 {
剩下的提权应该大家都会了。
$ W7 \: ^5 U g4 N( w( o$ L; u5 j 4 _2 L0 w* q1 t4 P
之所以发出来是因为这个提权方式真的很特别，如果不是本地测试偶然发现，我相信没有多少人会去试一试加refer头。也算是奇葩GetShell了 : p: w* Q; C3 L2 f3 n3 J! S0 R
2 O U x* m) \$ _+ }4 a7 `3 T
3 ^2 _7 c7 {' @0 e5 d5 W( D& W
( c3 N) R1 c; r' F7 ^, r& v9 o提供修复措施：
) O ~+ Y. h* [0 J" m) ?2 o4 v2 m' v+ u5 b5 V6 ~, L, A
加强过滤* p6 D5 M* o, ^% ^
7 n9 |: I: K" i7 C4 ]0 s# P |
发表于 2013-1-26 17:55:20
收藏
支持
反对