千博企业网站管理系统是一套比较常见的企业网站管理系统，很多市面上的企业网站都是改它的源码而来的。它的ASPX版本是封装起来的，就是说很多东西是放进DLL里面的，因此给查看源代码带来了难度。漏洞出现的版本是2011版的了，网上挺多的，其实想要说的重点是在后面的GetShell，很有技巧。
. |6 J5 l5 J- V0 \3 ]6 x3 s ^, u& H4 h* z- X4 t! B# \ ?0 } [
- R; @ C8 u) ]3 W* p" S; I! _
) n& f: V( \6 S$ ]4 o% S' e3 B7 K " q5 T7 ~, w9 {' S- ^* F
漏洞名称：千博企业网站管理系统SQL注入
( X; T9 @' n, h( Z: y: [测试版本：千博企业网站管理系统单语标准版 V2011 Build0608
9 s- |3 P2 W7 ~. P: T9 M漏洞详情：由于搜索处未对输入进行过滤，导致SQL注入。出现漏洞的文件名是：Search.Aspx。. W5 g/ ?3 i) T" l0 h) v
漏洞验证：9 V" c- t" i# X: y/ ^- j; k- M
5 u7 V! U0 ?) p# y
访问http://localhost/Search.Aspx?sid=2&keyword=%' and '%Jarett%'='%Jarett,返回所有内容
+ e+ e* X7 R# K+ S+ g* q5 f访问http://www.xxx.com/Search.Aspx?sid=2&keyword=%' and '%Jarett%'='%sb，返回为空! ^2 q" L/ |7 U
! X; N: i. V; X$ [那么就是存在注入了，不过可能无法直接union出来，要折半查找，慢慢手工刷吧，不一会儿，就刷到你脑残了。
) K( i$ _, u* m5 h( i
; x# ~/ o9 B/ R: m3 m0 u 4 c. P. }1 C% H* j& D8 m/ t
3 `" ^ N( R& _: w7 }
得到密码以后一般直接加个admin目录就是后台了，不出意外的话，而且进入了后台以后，不出意外的话，你是无法GetShell的，但是本地测试时发现了个一个很有技巧的GetShell方法。这个系统使用了eWebEditor，但是无法直接利用，已经经过二次DLL封装处理的了。直接访问:
) `& t: T8 c# q, ^& S4 S. V6 ~ + F0 {3 J# D4 S9 W* L) i
http://localhost/admin/Editor/aspx/style.aspx
' g) j6 j0 f$ b! b& q8 w是无法进入的，会带你到首页，要使用这个页面有两个条件：9 D2 P0 w$ _2 G
1.身份为管理员并且已经登录。$ b; C2 I$ h! J$ k! m, }) x
2.访问地址来源为后台地址，也就是请求中必须带上refer:http://localhost/admin/
+ L. \1 J" ^4 f4 `2 @- j
7 y* g) ` C5 t( Z现在我们第一个条件已经有了，只需要使用火狐的插件或者其他插件来伪造一个refer头就可以直接进入样式管理接口：! r# a$ X2 D1 d3 S/ o* ^5 `
* \+ }% s4 b0 E; ehttp://localhost/admin/Editor/aspx/style.aspx
; k4 C. z, D. A4 c0 c6 w! m剩下的提权应该大家都会了。6 O' F5 u% ?6 C( _8 ^" n$ B
) o) @& l8 Q4 v, d( }之所以发出来是因为这个提权方式真的很特别，如果不是本地测试偶然发现，我相信没有多少人会去试一试加refer头。也算是奇葩GetShell了 , m, u) E! V7 D( P$ o6 Y
# l% j9 T4 [( H8 V( o
. |) H& u: e5 X+ P" G* e( ]3 M: s' A) m1 z7 d) P. J1 |
提供修复措施：
5 ^2 [4 m: l ^5 c
, }% {* z4 m8 B# n加强过滤2 V, x+ e6 v. m. E) m# ~- n
- A9 R7 T4 H6 t
|
发表于 2013-1-26 17:55:20
收藏
支持
反对