中国网络渗透测试联盟

标题: 千博企业网站管理系统注入0day&GetShell [打印本页]
作者: admin    时间: 2013-1-26 17:55
标题: 千博企业网站管理系统注入0day&GetShell
千博企业网站管理系统是一套比较常见的企业网站管理系统，很多市面上的企业网站都是改它的源码而来的。它的ASPX版本是封装起来的，就是说很多东西是放进DLL里面的，因此给查看源代码带来了难度。漏洞出现的版本是2011版的了，网上挺多的，其实想要说的重点是在后面的GetShell，很有技巧。
1 m9 a2 h$ x1 a( g& I5 Q
% @$ |) n5 m1 D) g/ S5 h % J0 g  ^) V* a3 ], |

# F) G- M+ F$ T. o
! T" R; u  W( l  H' I5 G漏洞名称：千博企业网站管理系统SQL注入8 g, C! x" t& @
测试版本：千博企业网站管理系统单语标准版 V2011 Build0608: l: k" W9 b- [  n
漏洞详情：由于搜索处未对输入进行过滤，导致SQL注入。出现漏洞的文件名是：Search.Aspx。3 H* b# N5 l# e3 l5 r. r0 ~
漏洞验证：
# y# c9 H& Q1 [, \: z  ^9 @
$ Y+ v2 Y% V8 u6 j访问http://localhost/Search.Aspx?sid=2&keyword=%' and '%Jarett%'='%Jarett,返回所有内容' V2 n$ s2 Z* A0 g
访问http://www.xxx.com/Search.Aspx?sid=2&keyword=%' and '%Jarett%'='%sb，返回为空
: F1 ]3 T% n; x$ y* g2 ]7 L1 T - ^7 ]: [1 n8 ^0 n
那么就是存在注入了，不过可能无法直接union出来，要折半查找，慢慢手工刷吧，不一会儿，就刷到你脑残了。
& {- f7 p' S# Q% m5 S1 R
( V1 M, k/ M* Z8 m
$ X3 ?" q5 F) f/ d
7 ?8 d" i2 @# W得到密码以后一般直接加个admin目录就是后台了，不出意外的话，而且进入了后台以后，不出意外的话，你是无法GetShell的，但是本地测试时发现了个一个很有技巧的GetShell方法。这个系统使用了eWebEditor，但是无法直接利用，已经经过二次DLL封装处理的了。直接访问:
8 h7 J3 x, J5 ^% {3 X
9 i& U8 c1 c; x. q8 ~2 o1 P- H4 H6 Thttp://localhost/admin/Editor/aspx/style.aspx. r* k/ J8 b$ W& {3 ?
是无法进入的，会带你到首页，要使用这个页面有两个条件：
' C& u. t) W7 l2 s1 A; D1.身份为管理员并且已经登录。1 a" R' _( F0 R, D' n
2.访问地址来源为后台地址，也就是请求中必须带上refer:http://localhost/admin/# S8 \* `1 T) q6 E, H1 G0 g1 j

  t* `# _( |# h4 s- K1 D现在我们第一个条件已经有了，只需要使用火狐的插件或者其他插件来伪造一个refer头就可以直接进入样式管理接口：
' W/ Y! v" u' s; H2 d# [0 M: A# B( e  | - C6 |: k$ W( i0 \  Y$ {0 S9 n5 d$ {
http://localhost/admin/Editor/aspx/style.aspx1 E1 l' g- H3 P) V+ F' {  Z
剩下的提权应该大家都会了。2 P' U$ O- x- ^* P+ o8 g5 p- Y% f" f! q
3 A1 h5 {0 y6 [' t! n
之所以发出来是因为这个提权方式真的很特别，如果不是本地测试偶然发现，我相信没有多少人会去试一试加refer头。也算是奇葩GetShell了 5 b1 C. h+ X, N! ^+ ^* w) r+ y( {
0 H0 i4 J# }: _# I8 l* l, J4 l
. o0 Q6 W& a4 R$ z% `

* I/ n+ N' O) h8 Y3 @  t提供修复措施：6 k/ `( D2 t" ?. X; B' ]6 s- r

8 Y# v# h1 f9 R6 J& o0 P% F加强过滤; L/ n% V, `3 a/ P3 ~. _
" ^& |1 t7 ~% v




欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2