樱花浪子'S BLOG

情缘再续----再次对飘易留言本4.0漏洞分析

作者：樱花浪子[I.S.T]
来源：http://www.hacklu.net
申明：转载请注名版权,此文版权归1st和樱花浪子所有. ！


头一段时间对飘易留言本4.0做了一下测试,没想到让作者找上门了。又得到小天的旨意^_^又去对这个程

序做了一下测试。跨站代码已经没得玩了，全被HTMLEncode(name)等给过虑了。又看下注入。

addok.asp代码：
dim name,sex,title,qq,email,homepage,qiaoqiaohua,content,repcontent,ip,verifycode
name=replace(trim(request.form("name")),"'","")
sex=request.form("sex")           ‘注意了
title=replace(trim(request.form("title")),"'","")
qq=replace(trim(request.form("qq")),"'","")
email=replace(trim(request.form("email")),"'","")
homepage=replace(trim(request.form("homepage")),"'","")
qiaoqiaohua=request.form("qiaoqiaohua")
content=replace(request.form("content"),"'","")
repcontent="暂无回复"
ip=request.ServerVariables("REMOTE_ADDR")
verifycode=request.form("verifycode")
代码略……
dim sqlin
sqlin="insert into gb (name,sex,qq,email,homepage,title,content,qiaoqiaohua,repcontent,ip)

values

('"+HTMLEncode(name)+"','"+sex+"','"+HTMLEncode(qq)+"','"+HTMLEncode(email)+"','"+HTMLEncode

(homepage)+"','"+HTMLEncode(title)+"','"+content+"','"+qiaoqiaohua+"','"+repcontent+"','"+ip

+"')"
大家看一下sex=request.form("sex") ，其他的都被replace过虑了，只有这个没有。可能作者认为这是

选择性别的无关紧要。没有过虑，本来可以抓包用NC提交注入。可惜又被开头这样的代码给过虑了：
'判断来源，禁止外部提交
dim server_v1,server_v2
server_v1=Cstr(Request.ServerVariables("HTTP_REFERER"))
server_v2=Cstr(Request.ServerVariables("SERVER_NAME"))
if server_v1="" or instr(server_v1,"/add.asp")<=0 or

mid(server_v1,8,len(server_v2))<>server_v2 then
response.write "<SCRIPT language=JavaScript>alert('来源非法，禁止外部提交！');"
response.write "this.location.href='vbscript:history.back()';</SCRIPT>"
end if

看来这回作者下了很大的苦心呀，又到adminpsw_edit.asp（修改管理员密码的文件看下，包含了

<!--#include file="chkmanage.asp"-->在去chkmanage.asp文件看下，代码如下：
<%
If Session("admin_gb")<>"admin_gbok" Then
Response.Redirect ("index.asp")
End If
%>
哈哈，这下又得玩了，这不是传说中的Session欺骗吗？马上在本地构造如下代码：
<% Session("admin_gb")="admin_gbok" %>
保存为hacklu.asp用浏览器访问，接着在访问adminpsw_edit.asp，大家看出现了什么。见图一。
只要是同一台主机就可以了。因为修改密码需要原密码.我们直接转向首页发现已经是管理员了.图二.呵呵，马上联系了作者，可作者说什么服务器上的Session值只能在同一个

目录用什么的，反正是没事。我直接在我空间服务商那里又开通一个空间，在我现在的空间里传了这个程

序，最好也测试成功。那么作者说没事就没事吧。没办法。