黑基网 首页 学院 网络安全 查看内容

BBSXP漏洞[倒着看五]

2004-9-29 20:05| 投稿: security

摘要: 飞翔的背心@2003.8.1N.E.V.E.R at Ada Laboratory CSE.SEU    天知道我哪这么有空来慢慢写这些鬼东西,可能是因为无聊吧,或者是想...
飞翔的背心@2003.8.1N.E.V.E.R at Ada Laboratory CSE.SEU    天知道我哪这么有空来慢慢写这些鬼东西,可能是因为无聊吧,或者是想赶快把这个恼人的系列结束掉。南京这里天气太热,躲在实验室里给导师看到在玩的话就糟糕了,于是只好装模做样的弄点事情来做,算是对得起实验室的经费吧。    一到四朋友看了都说写得很糟糕,我一边看着他们摇头一边直冒汗,等他们摇完头我衣服都湿透了,只好勉强挤出一点笑容然后赶快跑掉。我知道他想说什么,但是我不想连续点上半个小时的头,那样的话不如回来写五。鉴于前面写得如此糟糕,我会尝试用另外的方法来写写。    其实在有源代码的情况下找漏洞是很简单的,你需要付出的是一点点时间和细心。看代码有很顺利和不太顺利的时候,顺利的时候就像拉肚子,西里哗啦一会儿就看完找到问题了,不顺利的时候就像便秘,拖拖拉拉半天都看不了多少。这和代码写的质量也有关系,写得好的代码别人很容易接受,写得不好的代码看起来就是一场灾难。如果说代码是食物而看代码是吃饭的话,美妙的代码就应该像馊了的稀饭一样,别人一吃就拉。当然,胃是可以锻炼的,平时多看代码,即使像BBSXP一样坚如玄铁的代码,吃下去一样可以西里哗啦。    比如我们要找SQL Injection的漏洞,自然会到生成SQL查询语句的代码中去搜寻。一般来说,满足两个条件的就可以:一、生成的SQL查询语句中包含我们提交的内容;二、提交的内容没有过滤或者是过滤不完全,像1.65a版move.asp行22:sql="select * from forum where ID="&ID&" and forumid="&forumid&""    里面有两个变量,都有可能满足上面的两个条件,往上看ID和forumid从何而来,行4、5:ID=Request("ID")forumid=Request("forumid")    都是用户提交的,满足第一个条件。当然还要看看是否满足第二个条件,行6、7、8:if isnumeric(""&forumid&"") = flase thenerror("非法操作")end if    这个是说forumid是检查了的,如果不是数字的话就会导致一个“非法操作”,但是我们看到代码里面并没有对ID进行检查,这就满足第二个条件了。事实上VB对变量的类型不是特别的严格,看起来ID好像应该是一个整型,但我们提交一个字符串型的ID也不会造成错误,真是很遗憾啊。    依据数据库的类型,我们可以作出不同的攻击策略,如果是MSSQL,这是支持多语句查询的,而且可以利用存储过程,相对来说简单一点;如果是ACCESS,最多就只能在一个库里面跨表操作,且只支持单一语句查询,功能要弱一些,一般以猜测密码为最终的目的。其实对于MSSQL进行攻击也是很有趣的,有时候也会要一些很巧妙的技巧,不过鉴于大部分BBSXP都是用的ACCESS,就不讨论MSSQL下的攻击了。    我们先看这样一句查询语句:select * from forum where id=1 and 1=(select count(*) from user) and forumid=1    执行这个就返回的结果来看,可以是空或者非空,关键在于where后面的条件。分开来看的话,可以是三个条件的合取范式,抛开id=1和forumid=1,来看看中间的一个条件:1=(select count(*) from user)    这个条件为真的话,整个范式就为真,也就是说查询后的返回集不为空,否则的话返回集就是一个空集。这个条件是说user表里面的列项是否为1,由于我们可以获知返回集的空与非空的情况,进一步就可以知道user表里面的列项是否为1了。一句话,上面的查询语句返回结果为空,就是说user表里有1个列,否则user表里面列项就不为1。    这是很容易理解的,弄懂了这个,就可以构造条件来让对方回答是或者否了。猜谜码除了问你的密码是不是xxxxxxx以外,还可以问你的密码第x位是不是x,你的密码是不是一共有x位等等,我们就是这样猜出别人的密码的,打个比方,我们问,never的密码长度是不是7位啊,条件就这样写:1=(select count(*) from user where username='never' and len(userpass)=7)    要是猜对方的第a位密码是不是'x',就这样构造条件:1=(select count(*) from user where username='never' and right(left(username,a),1)='x')    通过对方回答是还是不是就可以猜出来了。嗯,这仅仅是构造了条件,如果是完整的一个查询语句的话,应该是这样,我们还是完整的写出来,虽然有点长:select * from forum where id=1 and 1=(select count(*) from user where username='never' and len(userpass)=7) and forumid=1    这是问never的密码长度是不是7位的查询语句,比较一下move.asp第22行的那个语句,看出来id为什么的时候就成了上面一条了吗?ID="1 and 1=(select count(*) from user where username='never' and len(userpass)=7)"forumid=1    于是我们又倒回来,只要提交上述的id和forumid值,不就可以慢慢的猜随便那个人的密码了吗?    明白了道理,利用就简单了。按照对代码的分析,如果查询后的结果rs为空,后面调用了rs的属性,一定会报错,如果rs不为空,那么一切正常。换句话说,猜对了的话,看到的就是正常的信息,猜错了的话就会看到这样的错误:"BOF 或 EOF 中有一个是“真”,或者当前的记录已被删除,所需的操作要求一个当前的记录。"    实战演练一下,随便以一个人登陆,然后在地址栏中键入:http://localhost/bbsxp/move.asp?forumid=1&id=1 and 1=(select count(*) from user where username='never' and len(userpass)=7)    哗,返回了一个空白页,看代码就可以看到上面的错误信息,也就是说密码不是7位。再猜猜密码是不是9位。http://localhost/bbsxp/move.asp?forumid=1&id=1 and 1=(select count(*) from user where username='never' and len(userpass)=9)    哗,显示出来将帖子移动到什么地方的选项,没有错误信息,也就是说密码就是9位了。同样,下面就应该来慢慢的猜每一位的密码,自己可以试试?附上利用工具:
小编推荐:欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术,请 点击这里 注册黑基账号,公开课频道价值万元IT培训教程免费学,让您少走弯路、事半功倍,好工作升职加薪!



免责声明:本文由投稿者转载自互联网,版权归原作者所有,文中所述不代表本站观点,若有侵权或转载等不当之处请联系我们处理,让我们一起为维护良好的互联网秩序而努力!联系方式见网站首页右下角。


鲜花

握手

雷人

路过

鸡蛋

相关阅读

最新评论


新出炉

返回顶部