搜索

[20742] 2017-05-09_ewebeditor漏洞利用总结

文档创建者：s7ckTeam
浏览次数：27
最后更新：2025-01-18
2017-05-09_ewebeditor漏洞利用总结 e w e b e d i t o r 漏 洞 利 用 总 结 L e m o n S e c   2 0 1 7 - 0 5 - 0 9 e w e b e d i t o r 漏 洞 利 用 总 结           先 从 最 基 本 的 记 录 起 ！ 通 常 入 侵 e w e b e d i t o r 编 辑 器 的 步 骤 如 下 : 1 、 首 先 访 问 默 认 管 理 页 看 是 否 存 在 。                 默 认 管 理 页 地 址 2 . 8 0 以 前 为   e w e b e d i t o r / a d m i n _ l o g i n . a s p   以 后 版 本 为 a d m i n / l o g i n . a s p   ( 各 种 语 言 的 大 家 自 己 改 后 缀 ， 本 文 就 以 a s p 来 进 行 说 明 ， 下 面 不 再 细 说 了 ！ ) 2 、 默 认 管 理 帐 号 密 码 ！                 默 认 管 理 页 存 在 ！ 我 们 就 用 帐 号 密 码 登 陆 ！ 默 认 帐 号 密 码 为 :   a d m i n   a d m i n 8 8 8   ！ 常 用 的 密 码 还 有 a d m i n   a d m i n 9 9 9   a d m i n 1   a d m i n 0 0 0   之 类 的 。 3 、 默 认 数 据 库 地 址 。                 如 果 密 码 不 是 默 认 的 。 我 们 就 访 问 是 不 是 默 认 数 据 库 ！ 尝 试 下 载 数 据 库 得 到 管 理 员 密 码 ！ 管 理 员 的 帐 号 密 码 ， 都 在 e W e b E d i t o r _ S y s t e m 表 段 里 ， s y s _ U s e r N a m e   S y s _ U s e r P a s s   都 是 m d 5 加 密 的 。 得 到 了 加 密 密 码 。 可 以 去 w w w . c m d 5 . c o m   w w w . x m d 5 . o r g   等 网 站 进 行 查 询 ！ 暴 力 这 活 好 久 不 干 了 ！ 也 可 以 丢 国 外 一 些 可 以 跑 密 码 的 网 站 去 跑 !                 默 认 数 据 库 路 径 为 :   e w e b e d i t o r / d b / e w e b e d i t o r . m d b   常 用 数 据 库 路 径 为 : e w e b e d i t o r / d b / e w e b e d i t o r . a s a   e w e b e d i t o r / d b / e w e b e d i t o r . a s p e w e b e d i t o r / d b / # e w e b e d i t o r . a s a   e w e b e d i t o r / d b / # e w e b e d i t o r . m d b   e w e b e d i t o r / d b / ! @ # e w e b e d i t o r . a s p   e w e b e d i t o r / d b / e w e b e d i t o r 1 0 3 3 . m d b   等                 很 多 管 理 员 常 改 . a s p 后 缀 ， 一 般 访 问 . a s p   . a s a   后 缀 的   都 是 乱 码 ！ 可 以 用 下 载 工 具 下 载 下 来 ， 然 后 更 改 后 缀 为 . m d b   来 查 看 内 容 ！ 4 、 说 说 漏 洞 基 本 利 用 步 骤 ， 还 以 a s p 为 例 ！                 登 陆 后 台 以 后 。 选 择 样 式 管 理 ， 默 认 编 辑 器 的 默 认 样 式 都 不 可 以 修 改 的 。 我 们 可 以 从 任 意 样 式 新 建 一 个 样 式 ， 然 后 在 图 片 上 传 添 加 可 上 传 后 缀 。 . a s a   . c e r   . c d x   等 ！ . a s p   过 滤 过 了 。 但 是 我 们 可 以 用 . a s a s p p   后 缀 来 添 加 ， 这 样 上 传 文 件 正 好 被 e w e b e d i t o r   吃 掉 a s p 后 缀 ， 剩 下 . a s p   呵 呵 ！ 代 码 不 详 细 说 了 。 总 之 是 个 很 可 笑 的 过 滤 ！ 同 样 ， 如 果 遇 到 一 个 管 理 员 有 安 全 意 识 的 ， 从 代 码 里 ， 把 . a s p   . a s a   . c e r   . c d x   都 完 全 禁 止 了 ， 我 们 也 可 以 用 . a s a s a a   后 缀 来 突 破 。 添 加 完 了 后 缀 ， 可 以 在 样 式 管 理 ， 点 击 预 览 ， 然 后 上 传 ！ 5 、 默 认 管 理 页 不 存 在 ！                 在 实 际 入 侵 过 程 中 ， 有 很 多 默 认 的 管 理 页 不 存 在 的 时 候 。 我 们 可 以 直 接 访 问 样 式 管 理 页 面   e w e b e d i t o r / a d m i n _ s t y l e . a s p   然 后 用 第 4 步 的 方 式 拿 w e b s h e l l 。 如 果 样 式 管 理 页 也 不 存 在 的 话 ， 我 们 可 以 看 数 据 库 内 的 样 式 表 （ e w e b e d i t o r _ s t y l e ） 里 面 有 没 有 比 我 们 先 进 去 的 朋 友 留 下 的 样 式 。 然 后 构 造 上 传 ！ 具 体 u r l 如 下 :   e W e b E d i t o r / e w e b e d i t o r . a s p ? i d = c o n t e n t & s t y l e = w w w 6 、 e w e b e d i t o r 的 几 个 版 本 存 在 注 入 ！                 e w e b e d i t o r   以 前 版 本 都 存 在 注 入   e w e b e d i t o r / e w e b e d i t o r . a s p ? i d = a r t i c l e _ c o n t e n t & s t y l e = F u l l _ v 2 0 0   ! 添 加 验 证 字 符 串 ， 和 管 理 员 字 段 可 以 跑 出 管 理 员 的 m d 5 加 密 密 码 ！               e w e b e d i t o r   v 2 . 1 . 6 存 在 注 入 ， 可 以 用 u n i o n   s e l e c t   添 加 上 传 后 缀 进 行 上 传 ！ 先 贴 漏 洞 利 用 方 式 ！ - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - < H 3 > e w e b e d i t o r   a s p 版   2 . 1 . 6   上 传 漏 洞 利 用 程 序 - - - - < / H 3 > < b r > < b r > < f o r m   a c t i o n = " h t t p : / / w w w . x x x . c o m / e w e b e d i t o r / u p l o a d . a s p ? a c t i o n = s a v e & t y p e = I M A G E & s t y l e = s t a n d a r d ' u n i o n   s e l e c t S _ I D , S _ N a m e , S _ D i r , S _ C S S , S _ U p l o a d D i r , S _ W i d t h , S _ H e i g h t , S _ M e m o , S _ I s S y s , S _ F i l e E x t , S _ F l a s h E x t , [ S _ I m a g e E x t ] % 2 b ' | c e r ' , S _ M e d i a E x t , S _ F i l e S i z e , S _ F l a s h S i z e , S _ I m a g e S i z e , S _ M e d i a S i z e , S _ S t a t e F l a g , S _ D e t e c t F r o m W o r d , S _ I n i t M o d e , S _ B a s e U r l   f r o m e w e b e d i t o r _ s t y l e   w h e r e   s _ n a m e = ' s t a n d a r d ' a n d ' a ' = ' a "   m e t h o d = p o s t   n a m e = m y f o r m   e n c t y p e = " m u l t i p a r t / f o r m - d a t a " > < i n p u t   t y p e = f i l e   n a m e = u p l o a d f i l e   s i z e = 1 0 0 > < b r > < b r > < i n p u t   t y p e = s u b m i t   v a l u e = F u c k > < / f o r m > 漏 洞 原 因 是 因 为 s S t y l e N a m e 变 量 直 接 从 s t y l e 中 读 取 ， 并 没 有 过 滤 ， 所 以 可 以 包 含 任 意 字 符 ！ 用 s e l e c t 在 e w e b e d i t o r _ s t y l e 表 中 查 找 s _ n a m e 为 s S t y l e N a m e 的 记 录 ， 找 不 到 就 提 示 出 错 ！ 在 s S t y l e N a m e 变 量 中 用 u n i o n 来 构 造 记 录 ， 我 们 可 以 在 s A l l o w E x t 中 加 入 " | c e r " 、 " | a s a " 等 ！                 另 外 还 有 一 些 版 本 的 e w e b e d i t o r 的 u p l o a d . a s p 文 件 存 在 注 入 漏 洞 ！ 贴 几 个 注 入 用 的 u r l ！ 信 息 错 误 则 返 回 脚 本 出 错 的 提 示 ， 在 浏 览 器 左 下 角 ！ 具 体 利 用 如 下 : e w e b e d i t o r / U p l o a d . a s p ? t y p e = F I L E & s t y l e = s t a n d a r d _ c o o l b l u e 1 ' a n d % 2 0 ( s e l e c t % 2 0 t o p % 2 0 1 % 2 0 a s c ( m i d ( s y s _ u s e r p a s s , 1 5 , 1 ) ) % 2 0 f r o m % 2 0 e w e b e d i t o r _ s y s t e m % 2 0 ) > 9 8 % 2 0 a n d % 2 0 ' 1 ' = ' 1 注 意 修 改 红 色 部 分 的 字 段 名 、 位 数 、 a s c i i 码 的 值 ！ 7 、 目 录 遍 历 漏 洞 ！                 这 里 大 概 说 一 下 ！ 目 录 遍 历 漏 洞 基 本 存 在 于 e w e b e d i t o r / a d m i n _ u p l o a d f i l e . a s p   高 版 本 的 是 e w e b e d i t o r / a d m i n / u p l o a d . a s p   文 件 ！ 这 个 文 件 有 的 不 需 要 登 陆 验 证 ， 有 些 需 要 ！ 很 多 有 经 验 的 管 理 员 会 把 编 辑 器 的 目 录 设 置 为 只 读 权 限 , 不 可 修 改 ！ 这 种 情 况 下 ， 唯 一 可 以 利 用 的 也 就 是 利 用 遍 历 目 录 功 能 查 看 网 站 文 件 ， 比 如 数 据 库 路 径 、 后 台 地 址 、 其 他 的 上 传 地 址 、 最 直 观 的 就 是 别 人 留 下 的 小 马 等 等 ！ 这 些 都 自 由 发 挥 了 ！ 说 下 漏 洞 利 用 方 法 ！                 漏 洞 利 用 方 式 如 下 : 在 上 传 文 件 管 理 页 面   随 便 选 择 一 个 上 传 样 式 ！ 比 如 e w e b e d i t o r / a d m i n _ u p l o a d f i l e . a s p ? i d = 1 4   在 i d 后 面 添 加 & d i r = . . / . .   类 似 如 下 : w e b e d i t o r / a d m i n _ u p l o a d f i l e . a s p ? i d = 1 4 & d i r = . . / . . / . . / . . / d a t a /   可 以 看 到 网 站 数 据 库 的 路 径 ！               另 外 一 个 遍 历 目 录 的 漏 洞 文 件 是   e w e b e d i t o r / a s p / b r o w s e . a s p 用 方 式 如 下 : h t t p : / / s i t e / e w e b e d i t o r / a s p / b r o w s e . a s p ? s t y l e = s t a n d a r d 6 5 0 & d i r = … . / . / / … . / . / / a d m i n 这 样 子 就 可 以 看 到 a d m i n 的 内 容 了 。 构 造 特 殊 的 d i r 绕 过 上 面 的 验 证 ! 页 面 空 白 的 时 候 查 看 源 代 码 ， 就 可 以 看 到 目 录 列 表 了 ！
8 、 s e s s i o n 欺 骗 漏 洞 ！                 适 用 于 一 些 设 置 不 当 的 虚 拟 主 机 。 当 旁 注 得 到 一 个 w e b s h e l l , 而 目 标 站 存 在 e w e b e d i t o r 却 不 能 找 到 密 码 的 时 候 可 以 尝 试 欺 骗 进 入 后 台 ！ 顺 序 如 下 ：                       新 建 一 个 . a s p 文 件 ， 内 容 如 下 :   < % S e s s i o n ( " e W e b E d i t o r _ U s e r " )   =   " 1 2 3 1 3 2 3 2 3 " % >   然 后 访 问 这 个 文 件 ， 再 访 问 e w e b e d i t o r / a d m i n _ d e f a u l t . a s p   ！ 欺 骗 进 入 后 台 ！ 不 过 很 老 了 ！ 9 、   后 台 跳 过 认 证 漏 洞 ！                 访 问 后 台 登 陆 页 面 ！ 随 便 输 入 帐 号 密 码 ， 返 回 错 误 ！ 然 后 清 空 浏 览 器 ， 在 地 址 栏 输 入 j a v a s c r i p t : a l e r t ( d o c u m e n t . c o o k i e = " a d m i n u s e r = " + e s c a p e ( " a d m i n " ) ) ;   j a v a s c r i p t : a l e r t ( d o c u m e n t . c o o k i e = " a d m i n p a s s = " + e s c a p e ( " a d m i n " ) ) ;   j a v a s c r i p t : a l e r t ( d o c u m e n t . c o o k i e = " a d m i n d j = " + e s c a p e ( " 1 " ) ) ;                   然 后 再 清 空 地 址 栏 ， 在 路 径 里 输 入 后 台 登 陆 后 的 页 面 ， 比 如 :   a d m i n _ d e f a u l t . a s p   a d m i n / d e f a u l t . a s p   等 。 直 接 进 入 后 台 ， 利 用 方 式 见 上 文 ！ 1 0 、 利 用 远 程 上 传 功 能 ！                 比 如 s _ f u l l 样 式 就 存 在 这 个 功 能 ， 打 开 编 辑 页 面 ， 然 后 图 片 ， 选 择 输 入 u r l   比 如 : h t t p : / / s i t e . c o m / 1 . g i f . a s p   !   然 后 选 择 上 传 远 程 文 件 ！ 自 动 就 把 1 . g i f . a s p   保 存 在 上 传 目 录 内 ！ 注 : 网 上 的 东 西 大 部 分 传 来 传 去 ， 这 个 办 法 愚 弄 自 己 还 成 ！ 文 件 的 确 显 示 后 缀 为 . a s p   但 是 不 能 访 问 ， 因 为 收 集 过 来 的 时 候 自 动 截 止 在 1 . g i f 了 所 以 后 面 的 . a s p 等 于 没 有 ！ 而 且 g i f 的 内 容 就 是 我 们 这 个 u r l 的 路 径 ！ 呵 呵 ， 后 来 又 看 到 一 个 利 用 方 式 ！ 是 利 用 远 程 搜 集 的 时 候 执 行 , 我 们 文 件 的 代 码 生 成 另 外 的 小 马 ！ 1 1 、 任 意 文 件 删 除 漏 洞 ！                 此 漏 洞 存 在 于 E x a m p l e N e w s S y s t e m 目 录 下 的 d e l e t e . a s p 文 件 中 ， 这 是 e w e b e d i t o r 的 测 试 页 面 ， 无 须 登 陆 可 以 直 接 进 入 ！ 1 2 、 其 他 !                 其 他 说 点 什 么 呢 ！ 以 上 的 办 法 都 是 本 人 经 验 和 网 上 搜 集 ！ 暂 时 就 想 到 这 些 了 , 以 后 想 到 了 再 补 全 ！ 说 说 a s p x   p h p   j s p 版 本 的 利 用 吧 ！ A S P X 版 ： 受 影 响 文 件 ： e W e b E d i t o r N e t / u p l o a d . a s p x 利 用 方 法 ： 添 好 本 地 的 c e r 的 S h e l l 文 件 。 在 浏 览 器 地 址 栏 输 入 j a v a s c r i p t : l b t n U p l o a d . c l i c k ( ) ; 就 能 得 到 s h e l l 。 嘿 嘿 . . . . 绕 过 了 限 制 . . . . . . 成 功 的 上 传 了 A S P X 文 件 . . . . 文 件 默 认 的 上 传 后 保 存 的 地 址 是 e W e b E d i t o r N e t / U p l o a d F i l e / 现 在 来 看 看 是 否 上 传 成 功 . . . . . P H P 版 本 ： P h P 版 本 和 a s p 版 本 利 用 方 式 类 似 ！ 不 过 p h p 权 限 较 高 ， 不 多 废 话 了 ! j s p 版 本 ： 网 上 有 很 多 j s p 的 版 本 ， 根 本 没 有 对 上 传 文 件 类 型 进 行 检 测 ！ 需 要 注 意 的 是 j s p 版 本 的 没 有 上 传 按 钮 ！ 直 接 选 择 文 件 ， 回 车 就 可 以 提 交 了 ！ 查 看 更 多 文 章 ， 关 注 下 方 二 维 码
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理