千博企业网站管理系统是一套比较常见的企业网站管理系统，很多市面上的企业网站都是改它的源码而来的。它的ASPX版本是封装起来的，就是说很多东西是放进DLL里面的，因此给查看源代码带来了难度。漏洞出现的版本是2011版的了，网上挺多的，其实想要说的重点是在后面的GetShell，很有技巧。
. Q* Z( k- x4 t' N! S( a' W8 z* M m+ t9 ~ N2 [" ]
}3 P, U T9 m; _ 5 P; S% i+ V! `
5 X( k- g7 w ?+ ?
漏洞名称：千博企业网站管理系统SQL注入
/ e2 B5 j! G) e# V测试版本：千博企业网站管理系统单语标准版 V2011 Build0608) U- d, |/ h+ W2 X0 m! }% e/ H
漏洞详情：由于搜索处未对输入进行过滤，导致SQL注入。出现漏洞的文件名是：Search.Aspx。) D! h3 P, Q. `1 V
漏洞验证：$ m* H4 u1 x7 U7 A( s& h- G1 V
7 ?6 F! V) k' O! U
访问http://localhost/Search.Aspx?sid=2&keyword=%' and '%Jarett%'='%Jarett,返回所有内容
( O$ i( U+ B7 N5 w5 l2 R/ l访问http://www.xxx.com/Search.Aspx?sid=2&keyword=%' and '%Jarett%'='%sb，返回为空 k; Q: x. P. ^) o, D# ?
" n2 b7 X% f/ {. c4 P9 x那么就是存在注入了，不过可能无法直接union出来，要折半查找，慢慢手工刷吧，不一会儿，就刷到你脑残了。 W/ F$ g4 _0 B! O, v
. n5 D7 _1 m w3 i* h/ [/ E1 D
. P3 }3 K' X* w; ^# q+ D( E
' k2 J7 B& A# _5 m' C得到密码以后一般直接加个admin目录就是后台了，不出意外的话，而且进入了后台以后，不出意外的话，你是无法GetShell的，但是本地测试时发现了个一个很有技巧的GetShell方法。这个系统使用了eWebEditor，但是无法直接利用，已经经过二次DLL封装处理的了。直接访问:
4 J/ I3 r, H) ?# _% |
5 _: h' u$ c1 w; W( ~. \$ m+ ?http://localhost/admin/Editor/aspx/style.aspx
9 k. x o' A* u$ Q' f是无法进入的，会带你到首页，要使用这个页面有两个条件：- c5 Q: H: P. C6 t) Z5 M- A
1.身份为管理员并且已经登录。/ T$ v( g3 O% b7 N; X) t1 `% [
2.访问地址来源为后台地址，也就是请求中必须带上refer:http://localhost/admin/: p3 e+ B- f' L6 v& ]2 Z1 V' J; b) g
% a2 o" }8 Z6 [5 l: f
现在我们第一个条件已经有了，只需要使用火狐的插件或者其他插件来伪造一个refer头就可以直接进入样式管理接口：! B& c+ X2 _8 e p+ O
5 ]6 ^. E1 Y! {* S5 nhttp://localhost/admin/Editor/aspx/style.aspx* _3 Y! x2 `# `0 V& e( r4 F
剩下的提权应该大家都会了。. M- U0 @; B- r6 s5 s" E! Z! G
& l; E, n: J8 E" Z# |. {之所以发出来是因为这个提权方式真的很特别，如果不是本地测试偶然发现，我相信没有多少人会去试一试加refer头。也算是奇葩GetShell了
- \, ~/ J/ m( n) D+ Y2 K( g5 R4 K! o
, s9 `9 L: ~$ y
3 Z0 e- a/ _* m2 x2 C# ^. x7 ^: a提供修复措施：# o* m: K; N; ], a; ?0 A6 j' H
$ {7 v8 z1 F5 B% F/ y. y9 o加强过滤9 r3 ?- @5 \0 `8 F; y! }$ `7 v" d
9 p# x" w0 [7 w( d5 U% x
|
发表于 2013-1-26 17:55:20
收藏
支持
反对