论坛管理员来看看吧

打开下面这个连接
http://bbs.echot.net/UploadFace/20045242285039363.gif

煎饼

谢谢你，请和我联系一下

上传文件之后把首尾的代码去掉不就这样了吗，呵呵，晕 {仅仅是引起注意而已}
/ w8 v6 v- i% \! ], ]$ F
6 w1 v5 c! ]0 ^$ {- P- H8 u问题是， 这个 ASP 文件怎么上传进来的，而且被错误的执行为 gif 文件,如果这个asp带有病毒的话，就会有很多电脑受害。
5 j  z' O. g0 q2 s0 W
  G) D* R) _0 x我也不知道怎么解决，联系我也没用，反正这是动网论坛上传文件的漏洞，你编程水平很高的话自己修改原代码吧，或者等待动网论坛的官方补丁，相信很快就出来了
" b& N9 f3 A: P6 L3 \. k
) c/ m+ v0 _' `1 M
: Q' ?6 A; G1 V9 C3 U- c( V" @! e

晕，这样都行，煎饼遇到难题了呵

我累了

设置一下 uploadface 不能执行程序就好了

超帅

没那么简单!直接把这个uploadface 删除了

我累了

设置过权限之后就不能执行程序了，html没有什么用

gun

好象在哪本书上介绍过！
动网6.0 6.1 都有这个漏洞！
如果构造下 javascript代码还可能会得到会员和管理员的cookie，这个听起来很可怕啊！

hzzh

这个是动网论坛的上传文件漏洞
4 d( Z- Q8 l9 A- |0 r$ u- b主要问题出在asp无组件上传的代码中，以下这一句上
filename=formPath&year(now)&month(now)&day(now)&hour(now)&minute(now)&second(now)&ranNum&"."&fileExt
7 a7 y  e$ v- d8 B3 q0 c' ]这句话将一段字符串合并起来，生成保存的文件名filename，formPath是表单提交的变量。
如果设法构造formPath：在计算机中检测字符串的关键就是看是否碰到'\0'字符,如果是,则认为字符串结束了.也就是说我们在构造上传文件保存路径时,只要欺骗计算机,让他认为类似"uploadface\zwell.asp"这样的路径参数已经结束了,这样,后面一连串的时间字符我们都可以不要,从而达到直接将文件保存为我们定义的文件名的目的。
因此,在构造的POST数据包中,将表单中的filepath改成类似uploadface\zwell.asp'\0'的字符串然后发送出去就行了。
也就是说，恶意提交的formPath中只要包含'\0'，filename=formPath&year(now)&month(now)&day(now)&hour(now)&minute(now)&second(now)&ranNum&"."&fileExt语句得到的
filename就只有formPath了，后面的&year(now)&month(now)&day(now)&hour(now)&minute(now)&second(now)&ranNum&"."&fileExt部分都给丢弃乐，因此可以随意生成.asp等文件了。
解决方法，我想在filename=之前，先对formPath的内容进行过滤，把'\0'改成空格什么的，就可以防止这个漏洞了。asp我不熟悉，不知对'\0'检测用什么语句可以
关于这个漏洞的详细说明，见http://www.xfocus.net/articles/200405/700.html
  l; {5 m, ?2 Z7 R: k

偶八是斑竹，先闪过。。。。

yzhlinux

呵呵，一个不大不小的漏洞，不过这个也不是用javascript可以利用的，要写socket程序才可以利用。

gun

呵呵~！
/ q5 O9 I8 O8 x. S  O
) q) L; n# `6 z/ r% L9 O这个问题应该说比较严重！

* h+ T1 Z# s- a稍不注意就会泄露cookie,被人利用！

' U- Y, ?7 O! V! d+ Z

[此贴子已经被作者于2004-5-28 19:30:37编辑过]

hzzh

以下是引用yzhlinux在2004-5-28 17:55:55的发言： 呵呵，一个不大不小的漏洞，不过这个也不是用javascript可以利用的，要写socket程序才可以利用。

" M4 X; J) ~ M4 p如果先用sniff软件抓出正常POST数据，稍作修改，保存为aa.txt 然后telnet IP 80 2 x3 r/ Q( K4 W就可以利用这个漏洞上传文件了 ,不用编写程序 ^^) $ ?# e D) j; f' N5 A5 m1 P+ j0 k( P 7 X: p% `5 r1 \$ G# F4 q: J" O

我累了

找到 post_upfile.asp、upfile.asp、z_visual_upfile.asp、NF_visual_upfile.asp、saveannouce_upfile.asp等上传文件(包括所有插件中的上传文件) 2 Z# ]9 ]8 _& T; z' a, N & r' g& J. R" P) t. V# v查找文件中的代码： + d4 K( _) Z& U. X8 K FileExt=Lcase(File.FileExt) 1 ?. c$ h2 j0 @( g6 p; \ '判断文件类型 ' W' n& r( W# M, `" i; _! U If CheckFileExt(FileExt)=false then Response.write "文件格式不正确,或不能为空　[ 重新上传 ]" EXIT SUB k+ |3 H4 L. k9 U1 M4 |7 y End If ) Z/ A7 b I& Y* d) X将其中的 & B9 J: Q2 b: ^9 ]FileExt=Lcase(File.FileExt) 0 I6 Q0 f# D% F6 h. z) @; ~ # W; {+ ^) Z5 f+ g; I/ V- K$ W替换为下面代码： FileExt=FixName(File.FileExt) # h& M! y! \3 U! t) n* v3 ~ formPath= Replace(Replace(formPath,Chr(0),""),".","") 下面的代码放在asp文件的最后 "%>"前 Function FixName(UpFileExt) $ t! E" s2 k2 ~6 QIf IsEmpty(UpFileExt) Then Exit Function 7 K$ j9 e4 C$ LFixName = Lcase(UpFileExt) ; u1 Y( W( F( z9 b+ T+ dFixName = Replace(FixName,Chr(0),"") FixName = Replace(FixName,".","") . e$ L6 {; E2 c0 r3 Y8 |; nFixName = Replace(FixName,"asp","") : ]3 H" R4 ?0 DFixName = Replace(FixName,"asa","") 7 B+ H1 r9 j/ N A1 R- Y3 CFixName = Replace(FixName,"aspx","") - K: ?0 T# X; B2 {9 yFixName = Replace(FixName,"cer","") - L* i& v' v! p$ I! S( Z9 v! _$ sFixName = Replace(FixName,"cdx","") 5 v. N$ n7 F- Z, |( s( T: [FixName = Replace(FixName,"htr","") ) i% x0 I7 ]1 u2 e: G FixName = Replace(FixName,"php","") # X* L- ]' E- ^: v( ^; x5 |' Q% Q6 PEnd Function & a8 V6 Q5 ]) u! i0 o3 q, \. o$ I " c* C: C, c! Z# @& y8 v3 ?

hzzh

我认为主要应该对提交的文件全路径filepath进行过滤
例如提交一个uploadface\aaa.asp+'\0'+.jpg 文件，从文件的扩展名File.FileExt得到的是合法的.jpg文件类型，但是利用漏洞上传后，产生为aaa.asp 非法文件，则才是这个漏洞的关键。

) B4 l( \! }, ^' M' H; y/ Y( E$ Q‘我累了‘前面提到的禁止uploadface目录的执行和脚本权限也许可防范。
, l3 y, ]5 O2 F4 e  m- V% [
/ Z" C0 j! C  b9 l# o! G) c4 W不过不知道Dvbbs 是否对上传的路径进行了限定，否则把filepath改成"c:/winnt/aa.exe+'\0'+.jpg 或者../../../aa.exe+'\0'+.jpg 什么的，这洞就有点大了

1 \. ~/ q' U3 W& R2 A5 b# L* U# U

[此贴子已经被作者于2004-5-30 17:43:02编辑过]