注意:文章已經(jīng)發(fā)表在2008第7期《黑客手冊》上,轉(zhuǎn)載請注明出處。
幾 個月前，DVBBS php2.0暴了一個可以直接讀出管理員密碼的sql注入漏洞，當時這個漏洞出來的時候，我看的心癢，怎么還會有這么弱智的漏洞，DVBBS php2.0這套代碼我還沒仔細看過，于是5月中旬我down下來粗略看了下，接著我花了三天的時間，拿下p.dvbbs.net，即動網(wǎng)php的官方網(wǎng) 站，并得到了webshell?？偟膩碚f，這次入侵憑的是二分技術(shù)加一分運氣。

　　一、 SQL注入漏洞：

　　晚上檢查了好久，終于在topicother.php中發(fā)現(xiàn)了一處sql注入漏洞，但是并不像前段時間暴的漏洞那么簡單，因為不能把密碼直接讀出數(shù)據(jù)庫并顯示出來，這是個活動帖子的報名主函數(shù)，我簡單搜索了下，1.0好像后來就增加了這個功能。好了，來看具體函數(shù)：

function PostActive_Main(){
……
$TopicID = $GLOBALS['id'];
$activeid = trim($_GET['activeid']);//activeid并沒有過濾
$timemode = $_POST['payment'];
$systemmode = trim($_POST['contact']);
$message = trim($_POST['message']);

$gettimemode = trim($_POST['timemode']);
$getstarttime = trim($_POST['starttime']);
$getendtime = trim($_POST['endtime']);
$getexpiretime = trim($_POST['expiretime']);

if($timemode ==0)
$costnum = 0;
else
$costnum = intval(trim($_POST['payvalue']));
//直接帶進來使用了
if( $query = $db->query("SELECT u1.sex,u1.strength,u2.usersex FROM {$dv}active as u1,{$dv}user as u2 WHERE activeid={$activeid}")){
$activeinfo =& $db->fetch_array($query);
if( !empty($activeinfo) ) {
$db->free_result($query);
}
}
if( $num = $db->query("SELECT count(*) as num from {$dv}activeuser where activeid='".$activeid."'")){
$activenum = $db->fetch_array($num);
if( !empty($activenum) ) {
$db->free_result($num);
}
}
…
//如果查取的activeid不正確或者后面注入的條件不成立，則顯示顯示str1：對不起!本活動報名人數(shù)已滿!
if($activenum['num']>=$activeinfo['strength']){
head(0,0,0,$arrNavMenu);
showmsg($lang['Active_Error.str1']);
exit;
}
//如果activeid正確（后面注入的條件也成立），但沒有登陸，就顯示str2：請登陸后操作!
if ($userid==0) {
head(0,0,0,$arrNavMenu);
showmsg($lang['Active_Error.str2']);
exit;
}
…
//如果activeid正確并且已經(jīng)登陸了，遞交的時候沒有遞交聯(lián)系方式，則會顯示str6這個錯誤：對不起聯(lián)系方式不能為空或小于8個字符!
if (''==$systemmode||strlen($systemmode)<8) {
head(0,0,0,$arrNavMenu);
showmsg($lang['Active_Error.str6']);
exit;
}
…
}


　　首先先確定有沒有activeid為1的活動帖子，就是在論壇目錄后加上

　　topicother.php?t=9&action=join&activeid=1

　　顯示“對不起!本活動報名人數(shù)已滿!”則有可能不存在，自己注冊個號進去發(fā)個活動帖子先。

　　根 據(jù)上面解釋，大家是否已經(jīng)看出來該怎么注入啦，并不是什么都需要工具的，想當年ACCESS手工注入又不是沒注入過，判斷條件正確就返回正常，錯誤就不正 常顯示;這里不也是同樣的道理么，不管有沒登陸，出錯都顯示：“對不起!本活動報名人數(shù)已滿!”，如果判斷條件正確，沒有登陸的話顯示：“請登陸后操 作!”，已經(jīng)登陸了顯示：“對不起聯(lián)系方式不能為空或小于8個字符!”于是當晚我手動測試了一下官方，并成功獲得了一個管理員的16位MD5的密碼。興奮 的去睡覺，躺在床上卻怎么也睡不著：怎么去更簡單的利用呢?一邊思考，一邊入睡，睡著的時候天都亮了。

版權(quán)聲明：本站文章來源標注為YINGSOO的內(nèi)容版權(quán)均為本站所有，歡迎引用、轉(zhuǎn)載，請保持原文完整并注明來源及原文鏈接。禁止復(fù)制或仿造本網(wǎng)站，禁止在非maisonbaluchon.cn所屬的服務(wù)器上建立鏡像，否則將依法追究法律責任。本站部分內(nèi)容來源于網(wǎng)友推薦、互聯(lián)網(wǎng)收集整理而來，僅供學(xué)習(xí)參考，不代表本站立場，如有內(nèi)容涉嫌侵權(quán)，請聯(lián)系alex-e#qq.com處理。