起因

故事的开始,是一个老套的任意文件下载漏洞

发现这个漏洞,自然要利用起来,读读文件

一看这个的dbconn.asp,就是跟数据库连接有关的,于是读取一下:

连接密码啥的没直接写,不过略微思考就能想到:不写在这个文件里面,那就是写在了web.config里面了。然而直接读取根目录的web.config并没有,一番寻找之后发现在admin/web.config里面。。。

可惜不能直接连,扫了下端口发现就开了80。

继续寻找

没办法,读了几个文件发现这个系统参数都做了sql过滤,看了下过滤得还挺细,大概是将关键字像单引号、select啥的直接替换掉,想绕估计得找黑名单之外的关键字进行代替,有些麻烦,暂时先放这。
扫目录发现了fckeditor:

然而不能用,fckeditor目录下所有asp文件都不能执行。

这下也没别的办法了,只能找找上传点。
于是我根据目录扫描的结果继续读取后台的文件:

可以看到这个菜单文件,里面没有直接写出后台各个部分的路径。
试试直接访问:

找到源码中对应的部分,发现直接访问也获取不到,估计是没登陆的缘故(后面拿到账户密码证实了这一点)。
没有办法,扫目录没什么进展,而且直接读文件没有找到上传的地方或者其他可利用的点,卡在这里卡了好一会

峰回路转

经过一番仔细地观察,我发现扫admin子目录的时候,有个report目录,直接访问是403的:

再看上上张图里面的html源代码,正好有个#report超链接。因此,可以大胆的猜测,会有/board、/sys这些与menu.asp这个菜单文件中的菜单同名的目录。
测试发现确实如此:

因为前台的/board目录有附件,所以后台对应应该有上传,于是去猜测/admin/board/这个目录下的文件,最后找到个news.asp,于是读取一下:

根据源码,一路跟踪到news_edit2.asp这个文件才发现上传表单,但是需要登陆:

终于突破

又迷茫了好一阵。。。
没办法继续找,常规的思维告诉我们,后台的系统设置什么的可能存在上传,比如上传logo什么的,于是我又跑去猜admin/sys目录下的文件:

好家伙,有个upload.asp(前面居然没扫出来。。。),访问:

然而难受的是点击上传之后会跳转到登陆。。。
就当我以为gg的时候,看了眼burp,发现是上传成功了,然后跳转的:

于是开始针对这个上传点,不过直接上传是不行的:

没关系,我们可以读源码:

好家伙,后缀控制得很死。
然而文件名可以钻空子,让我们看看文件名的构成:

ufp = upload.form("schyy")&upload.form("exid")&upload.form("idno") & upload.form("extend") &"."&upfilename(ubound(upfilename))

前面三个参数都是我们可控的,这样我们直接进行在前三个参数进行截断就行了:

这里我还跳转了一下目录,跳到上面一层去了,因为默认的那个目录,不管访问啥都是403:

好家伙,终于拿到了shell:

点击收藏 | 1 关注 | 2
登录 后跟帖