.Net代码审计

0x01目录架构

Global.asax用于处理应用程序级别的事件，例如应用程序启动（Application_Start）、会话启动（Session_Start）、应用程序错误（Application_Error）等。

Web.config这是 ASP.NET 应用程序的主要配置文件，用于定义应用程序的配置设置，例如数据库连接字符串、身份验证方式、自定义错误页面等。

bin文件夹放置了编译好的Dll文件，是后端服务接口代码的存放位置

0x02审计

SQL盲注——GetByName方法

Login.aspx是管理后台进行登陆的代码文件，对应GBLab.Web.dll的Login方法

将该GBLab.Web.dll文件放入ILSpy中反编译

在登陆时候传入的username参数以及password参数分别是txtUserName与txtPassword

通读一下方法代码，GetByName的作用大概是进行数据库查询判断有没有这个username，看看有没有过滤'"这些符号吧

Trim函数代码

public string Trim()
{
    return TrimHelper(2);
}

TrimHelper函数代码

private string TrimHelper(int trimType)
{
    int num = Length - 1;
    int i = 0;
    if (trimType != 1)
    {
        for (i = 0; i < Length && (char.IsWhiteSpace(this[i]) || IsBOMWhitespace(this[i])); i++)
        {
        }
    }
    if (trimType != 0)
    {
        num = Length - 1;
        while (num >= i && (char.IsWhiteSpace(this[num]) || IsBOMWhitespace(this[i])))
        {
            num--;
        }
    }
    return CreateTrimmedString(i, num);
}

这些代码并没有修改参数值，当trimType不等零时，进行num自减，它的意思应该是要去掉字符串后方的空白字符以及Bom空白字符，那怎么能过滤恶意的Sql参数呢？

根据GetByname函数，其会进行SQL语句的拼接，后会通过FindAll进行SQL语句的执行

public static T_User GetByName(string username)
{
    EntityList<T_User> entityList = Entity<T_User>.FindAll("select * from T_User where F_Account='" + username.DefaultIsNullOrEmpty("") + "'");
    if (entityList.Count == 0)
    {
        return null;
    }
    return entityList[0];
}

总结一下，GetByName进行SQL语句的查询，将查询的数据赋给byName，但是这个登陆功能点不会直接给我们回复(只有登录成功或失败)，就是一个盲注注入点

Burp进行推叠时间盲注测试

admin';WAITFOR DELAY '00:00:10';--/**/

这个功能点测试完了拥有SQL盲注，登陆进去之后会请求/Manage/Index接口，要看这个接口的代码逻辑还是需要寻找路由

在Asp.net程序中，拥有区域路由配置以及全局路由配置，区域路由配置允许为应用程序的不同部分定义独立的路由规则

在Asp.net应用程序中Global.asax文件是Asp.net程序的入口点，通过它可以找到路由配置

全局路由代码，将接口{controller}/{action}/{id}映射到相应的控制器和动作方法

routes.MapRoute("Default", "{controller}/{action}/{id}", new
        {
            controller = "Home",
            action = "Index",
            id = UrlParameter.Optional
        }