没有将文件重命名，外加本地JS验证。配合IIS6.0解析漏洞 如果是IIS7 的话用火狐

admin

漏洞出在fileload目录下的FileUpload.asp文件中，用的是无惧组建上传

  

, j, }' z' y/ g; D看代码



8 W9 k/ m$ b, k2 G1 D' k( @01 var fu = new FileUpload("uploadForm","idFile", { Limit: 3, ExtIn: ["rar","doc","xls"], RanName: true,
. v* V1 i7 f* \
02     onIniFile: function(file){ file.value ? file.style.display ="none" : this.Folder.removeChild(file); },
* f( Q4 E, M+ O7 Q
03     onEmpty: function(){ alert("请选择一个文件"); },

' J3 N0 r6 L/ B) Q7 k9 B5 E04     onLimite: function(){ alert("超过上传限制"); },
* K* ^. r5 [9 B& }4 k- d
05     onSame: function(){ alert("已经有相同文件"); },

2 x8 m; m7 D% H% L2 e06     onNotExtIn: function(){ alert("只允许上传" + this.ExtIn.join("，") +"文件"); },
* a. P" \- j9 A3 V
07     onFail: function(file){ this.Folder.removeChild(file); },
8 K1 X9 ]3 V# i+ a& g. E& \
08     onIni: function(){

09         //显示文件列表
7 K. B/ N  U1 d/ R8 @& }
10         var arrRows = [];

) j! A. Q8 ^0 Q0 A- }11         if(this.Files.length){
; B& O$ B7 Q+ M- d) x, L& d
12             var oThis = this;

13             Each(this.Files, function(o){
0 W4 }& y$ y6 g* ]* H# u, M
14                 var a = document.createElement("a"); a.innerHTML ="取消"; a.href ="javascript:void(0);";

- J& Q- d/ y6 Y1 H4 l$ W7 ?% @15                 a.onclick = function(){ oThis.Delete(o); return false; };

16                 arrRows.push([o.value, a]);
# ]9 l9 c# K( o  u
2 F: p( E! G) `' }17             });

18         } else { arrRows.push(["<font color='gray'>没有添加文件</font>"," "]); }
  m: u; Y2 P$ C# n6 x9 d
$ h" _+ A% X/ n2 V% @& U4 r19         AddList(arrRows);
8 s' O% b  d" Z8 |& M! r" ?7 w
4 k: h0 |- R) U0 x) V20         //设置按钮

21         $("idBtnupload").disabled = $("idBtndel").disabled = this.Files.length <= 0;

22     }
2 i4 Q8 }3 i' r5 T
$ g( `$ y7 \% z! }1 f23 });
' M; J6 u6 d4 O+ r4 Z
24   

25 $("idBtnupload").onclick = function(){
( P: m3 ?. {/ Q2 d. M. v: E; n
26     //显示文件列表
5 F) k$ Y  \2 H' R0 E
27     var arrRows = [];

& J5 j5 j( r" ~. |3 s1 L28     Each(fu.Files, function(o){ arrRows.push([o.value," "]); });
" A6 t4 y. O5 T  N  n$ F
29     AddList(arrRows);

30      

31     fu.Folder.style.display ="none";
0 Z; `! D0 G  n- h) o
32     $("idProcess").style.display ="";

33     $("idMsg").innerHTML ="正在上传文件到服务器，请稍候……<br />有可能因为网络问题，出现程序长时间无响应，请点击“<a href='?'><font color='red'>取消</font></a>”重新上传文件";
: O1 }; D6 G- s; k% r9 S
34      
( a8 x. x5 I4 f7 G% p+ {# t
35     fu.Form.submit();

8 ^$ ~6 ]7 ?) ?9 n36 }
; M$ ~. T; e6 u& Q
37   

1 `8 R/ _3 p$ E9 }7 F+ o38 //用来添加文件列表的函数
0 s% o# n+ ^6 Z6 h
: N' g: J. S- B39 function AddList(rows){
9 q8 G$ T5 T9 j$ ?! H0 c9 p/ }: Z
40     //根据数组来添加列表

41     var FileList = $("idFileList"), oFragment = document.createDocumentFragment();

% z. O  i- ]% w42     //用文档碎片保存列表
5 H; m, e( ~/ h) e  K7 H3 J' h
43     Each(rows, function(cells){
4 q+ C' T4 [  Z8 L
5 V3 J! F$ r7 b; T% i# \+ z44         var row = document.createElement("tr");
% m1 }0 v% |5 V7 L6 v
45         Each(cells, function(o){

" n/ u; ]8 o! K2 ?6 V46             var cell = document.createElement("td");

47             if(typeof o =="string"){ cell.innerHTML = o; }else{ cell.appendChild(o); }

. o' |; W( f: @1 U, `* a48             row.appendChild(cell);

8 y- N7 T$ c3 {49         });

, l9 U' }' n( x1 [) G50         oFragment.appendChild(row);
& O. \3 z9 n, m9 P0 J6 C
  `( z  r' c1 G& R5 A8 H2 O3 R51     })

52     //ie的table不支持innerHTML所以这样清空table
4 Q4 }% `1 z5 g1 m; b) l
53     while(FileList.hasChildNodes()){ FileList.removeChild(FileList.firstChild); }

54     FileList.appendChild(oFragment);
/ P; X) V# K: t% L; c2 l
+ o6 U6 [# ^8 @& n; p) p1 r55 }

56   
) Z7 u6 C9 @9 m; S
57   

58 $("idLimit").innerHTML = fu.Limit;

59   
2 t2 m3 ~8 M  b( T7 W# C
( S. T/ L! V5 z60 $("idExt").innerHTML = fu.ExtIn.join("，");
1 R- S2 L8 G8 Y# I. p" }# }4 p
3 _  W- N% Z/ U$ F! ]( L0 M! L61   
; j$ R" n) m4 i% j2 p' m$ D. c+ l
4 c) m) u0 ?6 v, }3 |2 [0 q62 $("idBtndel").onclick = function(){ fu.Clear(); }

63   
9 F. t& p  r& j& s
64 //在后台通过window.parent来访问主页面的函数
" `6 W  n/ w% z% ?9 ^0 N6 w+ D
) [2 h/ M% {- n3 I* Z7 X+ ^$ a2 U, X65 function Finish(msg){ alert(msg); location.href = location.href; }
: u& d9 P! }# _6 B5 s
66   

$ y3 _; O* F% J) o0 R0 o67   </script>
) ?, P+ U$ Z9 V9 y% C5 b' I! j
68   <span class="STYLE1">　<strong>　注意：</strong></span></p>
3 t$ F; f& G5 u; I6 D0 M
3 [6 c; h+ P) V- M69 <p class="STYLE1">　　·请选择【<strong id="idExt">rar，doc，xls</strong>】格式的文件，其他格式的文件请打包后再上传。</p>
) q( v3 L9 \0 ^% Y( o
70 <p class="STYLE1">　　·文件名尽量详细，以方便下载。</p>

71 <p class="STYLE1"> 　　·文件不能过大。 </p>

72 </body>

73 </html>
# a7 q. \! O- V# V+ C
& H" v4 P; x* n  _3 d' ~/ z3 A