<p>SQL注入一:</p><p>漏洞文件：/help.asp</p><p>这里id参数过滤不严存在sql注入的，但是conn.asp中包含了：</p><pre class="lang-php" data-lang="php"><!--#include file="conn.asp"-->
<!--#include file="inc/config.asp"-->
<%
if trim(request("id")) &lt;&gt; "" then
set rs=conn.execute("select * from help where id ="&amp;trim(request("id"))&amp;" order by paixu asc")
if not rs.eof then
title=rs("help_title")
content=rs("help_content")
end if
else
set rs=conn.execute("select top 1 * from help order by paixu asc")
if not rs.eof then
title=rs("help_title")
content=rs("help_content")
end if
end if%>
</pre><p>SQL注入二</p><p>漏洞文件：/card_server.asp</p><p>这里没有直接包含数据库连接文件，直接创建了连接对象，导致这一个注入是无法被sqlin.asp防御，注意,Request的sel参数没有过滤直接带入查询导致了SQL注入。简单构造一下注入点：</p><p><a href="http://127.0.0.1/card_server.asp?sel=1">http://127.0.0.1/card_server.asp?sel=1</a>′</p><p>Microsoft JET Database Engine 错误 ‘80040e14′<br>字符串的语法错误 在查询表达式 ‘parentid=1” 中。<br>/card_server.asp，行 28</p><p>GETSHELL：</p><p>漏洞文件：/SqlIn.Asp</p><pre class="lang-php" data-lang="php"><function OpenDB(sdbname)
{
/*
*--------------- OpenDB(sdbname) -----------------
* OpenDB(sdbname)
* 功能:打开数据库sdbname,返回conn对象.
* 参数:sdbname,字符串,数据库名称.
* 实例:var conn = OpenDB("database.mdb");
*--------------- OpenDB(sdbname) -----------------
*/
/*var connstr = "driver={SQL Server};server=.;uid=sa;pwd=7881541;database=wangyou";*/
var connstr = "Provider=Microsoft.Jet.OLEDB.4.0; Data Source="+Server.MapPath(sdbname);
var conn = Server.CreateObject("ADODB.Connection");
conn.Open(connstr);
return conn;
}
var oConn = OpenDB("HSGAMEDB/#HSgame201008041121.asp");
var sel = Request("sel");
var classid = Request("classid")
var fieldname = Request("fieldname")
var arrResult = new Array();
//var sql = "select "+fieldname+" from game_class where parentid='"+sel+"' and classid="+classid;
var sql = "select * from card_class where parentid="+sel+"";
//Response.Write("alert("+sql+")")
var rs0 = Server.CreateObject("ADODB.Recordset");
rs0.Open(sql,oConn,1,1);
while(!rs0.EOF)
{
//遍历所有适合的数据放入arrResult数组中.
arrResult[arrResult.length] = rs0(0).Value+"|"+rs0(1).Value;
rs0.MoveNext();
}
//escape解决了XMLHTTP。中文处理的问题.
//数组组合成字符串.由","字符串连接.
Response.Write(escape(arrResult.join(",")));
%>
</pre><p>这里直接将用户非法提交的字符串写入了sql_whelpu.asp的数据库里面了，试想一下，如果故意加入一句话不就可以GETSHELL了吗？ 在没有被人插入过asp的<%%>符号则可直接访问：</p><p>当然如果有被人提交过的需要注意闭合就可以获取webshell了~ 这里成功将一句话写入数据库：sql_whelpu.asp，我们打开看看是不是呢？</p>
京公网安备 11010502034610号
暂无评论