智睿软件网站管理系统V1.0.0漏洞

最近没发什么文章 昨晚不少人跑来批评了一下。

的确 最近也没写啥。这个漏洞其实知道了不少时间了的。一直都懒写文章 现在简单爆出来 希望大家不要做坏事 官方那边我已经和他们说了 应该很快就出v2.0的 郁闷 等下挂机帮key刷流量 今天要交14w流量给他才行。。哎 这小子恋爱了 我就累了

废话不多说 看分析：

系统里面有很多文件都包含着防注入文件Nsql.asp 看看他是怎么写的：

<%
dim SQL_inj,SQL_Get,SQL_Data,Sql_Post
SQL_inj = split(DataNsql,"|")
If Request.QueryString<>"" Then
For Each SQL_Get In Request.QueryString
For SQL_Data=0 To Ubound(SQL_inj)
if instr(Request.QueryString(SQL_Get),Sql_Inj(Sql_DATA))>0 Then
Response.Write "<Script Language=javascript>alert(注意：请不要提交非法请求！ Http://Www.ZhiRui.net);history.back(-1)</Script>"
Response.end()
end if
next
Next
End If
If Request.Form<>"" Then
For Each Sql_Post In Request.Form
For SQL_Data=0 To Ubound(SQL_inj)
if instr(Request.Form(Sql_Post),Sql_Inj(Sql_DATA))>0 Then
Response.Write "<Script Language=javascript>alert(注意：请不要提交非法请求！ Http://Www.ZhiRui.net);history.back(-1)</Script>"
Response.end()
end if
next
next
end if
%>

gpc他只过滤了gp（get和post）

如果其他文件写法是request.form或者是 Request.QueryString的话 那就没办法利用cookies注入

但是 这个系统有文件是直接写成request()这样的 所以 cookies注入是存在的 具体测试就自己弄

这里还有几个小鸡肋 可以xss 听老大说xss可以触发seesion欺骗 如果是这样的话 那么整个系统就是鸡肋

看function。asp有这样写：

表单过滤
FUNCTION CHECKSTR(ISTR)
DIM ISTR_FORM,SQL_KILL,SQL_KILL_1,SQL_KILL_2,ISTR_KILL
IF ISTR="" THEN EXIT FUNCTION
ISTR=LCase(ISTR)
ISTR_FORM=ISTR
SQL_KILL="and|exec|insert|select|delete|update|count|chr|mid|master|truncate|char|declare|set|from|="
SQL_KILL_1=SPLIT(SQL_KILL,"|")
FOR EACH SQL_KILL_2 IN SQL_KILL_1
ISTR=REPLACE(ISTR,SQL_KILL_2,"")
NEXT
CHECKSTR=ISTR
ISTR_KILL=REPLACE(ISTR_FORM,ISTR,"")
IF ISTR<>ISTR_FORM THEN
RESPONSE.WRITE ""
RESPONSE.END
END IF
END FUNCTION

我真想不懂了 作为表单过滤 不是更注重过滤跨站的字符么 这不 这里一点都没 所以直接构造语句在一些文件里面就可以触发跨站

<script>alert("fuck by Link ")</script>

如果xss真的能触发seesion欺骗的话 那么这个系统就等于鸡肋了 就不需要再去凑合seesion欺骗的条件了

之前有人到博客里面骂过我 说seesion难利用 我就纳闷了 难利用又咋啦 你不让别人人品爆发刚刚凑合着条件啊？ 这种情况我架设下 假如你在旁注的时候 拿到非目标站的shell 但目录权限很变态 你跳不过去但你又提权不了的时候 你就不能想想用session欺骗拿下主站么。。哎 郁闷

回到正题 这里的xss可以触发seesion欺骗 因为有很多文件都是这样写：

<%
dim UserName,UserID
UserName=session("zhi_rui_v_MemName")
UserID=session("zhi_rui_v_userID")
If UserName="" or UserID="" then
Response.Redirect "UserLogin.asp"
Response.End()
end if
%>

这个是upload.asp里面的 假如欺骗进去了 也就可以传文件了

这里只判断seesion是否为空 。。那个站长问我更好的解决方法时 我想到了一个很强大的方法让一般人进不了 这个方法是在我分析bsht文章系统的时候发现的 下次再具体分析下 今次我懒打字了 文章完毕