1，前奏
今天搞一小站，是个asp的，初始以为会很简单，结果浪费了我大半天时间。拿站的时候，我一般是会先扫目录的，看看能不能直接扫到些敏感信息，比如备份文件什么的，有时候直接扫到编辑器和上传页面，就十分快速了。扫完之后，直接打开根目录下的admin_login.asp才发现这程序是my动力3.5的那老古董版本，找出这个版本的注入利用工具，没有破出密码来。
2，扫目录过程
像这一类的站，我还是比较喜欢扫目录多些，拿出了个大集合的字典，慢慢的扫目标站，扫了两遍，也没有什么可利用的地方，没办法，旁注吧。拿出御剑扫了下，发现有三个旁站，那就直接三个一起扫，边扫边看，扫出了个bbs.asp文件，是个简易论坛，像这种论坛，一个是无法利用，功能太简单了，一个是好利用，漏洞太多。直接注册了个用户，登录，进入用户管理中心，首先看看有没有什么上传头像之类的东东，再去发表文章那儿看看能不能利用的。
我一进用户管理中心就直接跳转到了my动力的用户管理中心去了，看来是管理员作了处理了。my动力的用户管理这儿，有个添加文章功能，存在着上传漏洞，拿出明小子 ，抓包上传，正常的图片都能上传上去，就asp asa cer之类的格式的都不行，无法找到网页，asp马儿改成jpg都还是存在的，应该没有被杀，就是利用不了，在这儿浪费了一小段时间。
再去看看扫的目录，发现出来了fckeditor和ewebeditor编辑器，满心欢喜的以为可以搞下了，结果fckeditor的asp和php都关闭上传了，aspx不支持，唯一的收获得php那儿暴出了路径，所这绝对路径保存到TXT文本上，也许等一下用的着呢，路径:D:\inetpub\wwwroot\com\xxoop。
等扫完三个站，全都是动力的，以前的注入漏洞工具又 都利用不了，哪怕上面有管理员留下的两种编辑器也是木办法，无奈，用大字典再扫了遍，还是同样的结果。
3.找注入过程
竟然目录没什么可利用的，那就再找找有什么注入吧，毕竟这老程序，管理员应该有修改过的，就像是那个简易论坛，也许存在着什么可利用的地方呢。
打开google神器，直接inurl:asp，找了一圈，没有找到，那好吧，打开网站一个一个看下吧，反正才三个而已。。。
3.柳岸花开
无奈了，目录扫不出什么可利用的，注入也找不到，这回郁闷了，这么个小小的站就这么棘手了，我们国内的安全现在倒是做的不错了。
木办法，只好请出神器nmap，扫扫端口，除了常规的21 80端口之外，还有个7001的weblogic httpd，weblogin是啥东西倒是不知道，httpd倒是能猜出来。一般看到3389有开，我都会习惯连上去看看有没有别人留下的shift后门什么的，偶尔也有什么安装了五笔输入法之类的可以突破，这站没开，那就打开网页，输入IP:7001看看吧。
一打开，是个登录页面login.jsp，嘿嘿，那就放到御剑里再萍破见扫扫目录吧。扫了一通，屁也没有。在这个登录页面上输入admin admin,admin admin888,admin 123456之类的弱口令去猜解了下，结果没成，想了下，不知道这页面会不会存在万能密码漏洞呢，输入1'or'1'='1，点登录，哈，奇迹出现，果真登录上去了
上边有个图片维护功能，打开，http://122.XXX.XXX.99:7001/news_itempic.jsp?action=upload&newsid=284，可以直接上传图片也可以下载图片，还有个浏览图片的功能，先试试上传吧，程序限制的挺严的，怎么也突破不了，可能我太菜了，这种上传的话，看起来不难突破的，却偏偏没突破成功。那个下载图片功能却让我眼前一亮，http://xxx.2x4.xx.99:7001/download.jsp?file=20121025.jpg，这个download.jsp看的我心动，试试输入http://xxx.2x4.xx.99:7001/download.jsp?file=download.jsp，嘿嘿，果真跳出来了下载页面
我就接连下载了login.jsp admin.jsp useradd.jsp之类的文件，结果没用啊，又没有什么可利用的，没找到诸如conn.asp config.php之类的有效的信息。郁闷中突然想到刚刚不是有暴出了目标站的绝对路径吗，试试看，输入http://xxx.2x4.xx.99:7001/download.jsp?file=D:\inetpub\wwwroot\com\xxoop\inc\conn.asp，哈，能下载哦，打开文件一看，是mssql，爽死了。赶紧拿出sqltools深度命令成版.exe，靠，连接不上，貌似这服务器是内网。。。。好吧，，我无语了，，，看看另外两个站能不能暴出路径吧，，或者猜猜出绝对路径，试了几次，都不成功，这回又被难住了。期间不知道做了多少无聊事，后来翻翻扫出来的目录的时候，发现了个aspcheck.asp，希望不会再是mssql吧。
打开aspcheck.asp找到了绝对路径，下载conn.asp文件，拿到了数据库地址data_netdebug/data.mdb,直接访问被拒绝，同样的用download.jsp下载数据库，终于可以了，管理员的表名就是user_data，解之，登录后台拿shell，拿shell也有一番问题，平常都习惯了传个一句话用菜刀连接，这回连接上去提示竟然是拒绝访问，大马又传不了，小马也不行，后来用lake2的客户端连接上去了。连接上去来到 jsp站的这个目录，传了个jsp马儿上去就是系统权限了。最后来个留影纪念
Trackbacks
 |
 |
 |
