推薦:利用Session欺騙構(gòu)造最隱蔽的WebShell
不知不覺“LM團(tuán)伙”看黑防已有兩個春秋了，期期不落。潛心修煉了這么久，也能開始耍上一兩招了?？戳撕诜赖诙诘摹禗reamWeaver引發(fā)
網(wǎng)絡(luò)危機(jī)》一文，“LM團(tuán)伙”內(nèi)心有說不出的激動，心想網(wǎng)上有40%的網(wǎng)頁都有這樣的
漏洞，那豈不是又能收獲N多肉雞了。可是仔細(xì)研究發(fā)現(xiàn)，這個文章的方法存在一些問題，并不像想象中的那樣容易發(fā)揮。下面就與大家一起討論一下Session。
既然是談Session欺騙，那么就先來看一下Session到底是什么，它是怎么工作的。在ASP中，
服務(wù)器能通過Session對象區(qū)分不同的瀏覽器，因?yàn)镾ession對象是用來記錄瀏覽器端的變量，存儲一些如用戶名等比較敏感或有用的信息。這點(diǎn)似乎和Cookie有點(diǎn)像。但我們知道Cookie的值都是保存在客戶端的，而Session的值卻是保存在
服務(wù)器端。當(dāng)每個訪問者第一次瀏覽器訪問
服務(wù)器的一個ASP網(wǎng)頁的時候，
服務(wù)器會為他創(chuàng)建一個新的并且獨(dú)立的Session對象，分配給該會話一個會話標(biāo)識號，并把包含會話標(biāo)識符的特殊加密版本的一個Cookie（會話標(biāo)識號）發(fā)送給客戶。由于在Cookie（會話標(biāo)識號）中沒有提供Expires值，所以當(dāng)瀏覽器關(guān)閉時，這個會話標(biāo)識號也就消失了。
每當(dāng)用戶訪問這個ASP網(wǎng)站時，ASP都會通過瀏覽器查找這個會話標(biāo)識號。命名為ASPSESSIONIDxxxxxxxx，其中每個x是一個字母符。我們在抓接收包時能看見：
Set-Cookie: ASPSESSIONIDSQBBQQDS=GCINNKPDIGDNPEAOGLDFFFEM; path=/
但是這個Cookie（會話標(biāo)識號）不會出現(xiàn)在Request.Cookies或Respsones.Cookies集合中，雖然ASP把它隱藏起來，但仍保存在瀏覽器上。對于每個ASP網(wǎng)頁的請求，ASP都要查看該值。這個Cookie（會話標(biāo)識號）包含的值，指明了這個用戶的會話。因此，相應(yīng)的Session對象（該對象已經(jīng)在內(nèi)存中，并且一直包含所有在前一頁面請求過程中進(jìn)行超操作的值）的內(nèi)容可以移交給ASP網(wǎng)頁中的腳本。也就是說，瀏覽器端擁有的是
服務(wù)器分配的一個會話ID號，當(dāng)我們有請求的時候，
服務(wù)器可以通過這個ID號，查找相應(yīng)Session對象的值，也就實(shí)現(xiàn)了區(qū)分不同的瀏覽器。
利用
文筆不好，不知道大家從前面的原理部分是否對Session有了一定的認(rèn)識?，F(xiàn)在我們來看看《DreamWeaver引發(fā)
網(wǎng)絡(luò)危機(jī)》一文是如何利用Session會話的。
已有某網(wǎng)站abc.com，下有登錄頁：Login.asp，成功登錄后轉(zhuǎn)向可以看到敏感信息的OK.asp（設(shè)有訪問限制，驗(yàn)證通過則顯示），否則轉(zhuǎn)向Fail.asp。
在該文中，作者是想先構(gòu)造一個hack.asp的網(wǎng)頁，通過瀏覽該網(wǎng)頁，建立Session會話，并設(shè)置一下Session驗(yàn)證時所需要的值，然后直接在地址欄輸入登錄以后的網(wǎng)頁ok.asp，由于ok.asp是通過Session來驗(yàn)證的，所以作者認(rèn)為這樣能成功。可是，通過前面的分析我們知道，如果ok.asp和hack.asp不在同一臺
服務(wù)器上，這種攻擊是無法實(shí)現(xiàn)的。因?yàn)镾ession對象的值都是保留在
服務(wù)器端，不可能像作者所說的那樣：讓ASP執(zhí)行并在IE中留下Session值，IE所擁有的不過是一個Session的會話標(biāo)識號。如果我們在本機(jī)或其它
服務(wù)器瀏覽了hack.asp，設(shè)置的驗(yàn)證值是在hack.asp所在的
服務(wù)器上，但是在ok.asp所在的
服務(wù)器上并沒有設(shè)置相應(yīng)的驗(yàn)證值，就連Session會話都沒有建立，又如何通過驗(yàn)證呢？可見如果ok.asp和hack.asp不在同一臺
服務(wù)器上，就不會引發(fā)
網(wǎng)絡(luò)危機(jī)了。
但是我們能通過這種Session欺騙的方法在入侵后給自己留一個不易查殺的后門！下面就以MyPower動力3.5為例給大家演示，如何通過Session欺騙來達(dá)到直接登錄后臺目的。
我們先來看一下動力的源代碼，在Admin_ChkPurview.asp中Session的驗(yàn)證：
AdminName=replace(session("AdminName"),"‘","")
if AdminName="" then
call CloseConn()
response.redirect "Admin_login.asp"
end if
sqlGetAdmin="select * from Admin where UserName=‘" & AdminName & "‘"
可見，動力是通過Session對象中的AdminName變量來認(rèn)證的，并用它作為用戶名來查詢
數(shù)據(jù)庫，而AdminName的最初賦值是在Admin_ChkLogin.asp中，當(dāng)用戶成功登錄以后會給你兩個Session值：
session.Timeout=SessionTimeout
session("AdminName")=rs("username")
由于登錄以后都是通過Session對象來檢測的，所以我們在任何能訪問的ASP網(wǎng)頁中可構(gòu)造以下語句（如Copyright.asp）：
<%session("AdminName")="admin"%>
這樣就能通過Admin_ChkPurview.asp的Session驗(yàn)證了。其中，Admin是指存在的管理用戶名。這樣構(gòu)造后，即使我們在肉雞上的任何木馬都被查殺，只要管理員的用戶名沒有更改，我們可以先訪問Copyright.asp，然后直接輸入Admin_Index.asp就能直接登錄后臺了！
那對于這種情況如何預(yù)防呢？其實(shí)動力也用了一定的辦法，你會發(fā)現(xiàn)按這種方法輸入其它的后臺頁面無法成功，這是因?yàn)樵贏dmin_ChkPurview.asp還有如下驗(yàn)證：
ComeUrl=lcase(trim(request.ServerVariables("HTTP_REFERER")))
if ComeUrl="" then
response.write "<br><p align=center><font color=‘red‘>對不起，為了系統(tǒng)安全，不允許直接輸入地址訪問本系統(tǒng)的后臺管理頁面。</font></p>"
response.end
else
cUrl=trim("http://" & Request.ServerVariables("SERVER_NAME"))
if mid(ComeUrl,len(cUrl)+1,1)=":" then
cUrl=cUrl & ":" & Request.ServerVariables("SERVER_PORT")
end if
cUrl=lcase(cUrl & request.ServerVariables("SCRIPT_NAME"))
if lcase(left(ComeUrl,instrrev(ComeUrl,"/")))<>lcase(left(cUrl,instrrev(cUrl,"/"))) then
response.write "<br><p align=center><font color=‘red‘>對不起，為了系統(tǒng)安全，不允許從外部鏈接地址訪問本系統(tǒng)的后臺管理頁面。</font></p>"
response.end
end if
end if
可是在Admin_Index.asp頁面中并沒有調(diào)用Admin_ChkPurview.asp，所以我們能通過驗(yàn)證！那為什么不調(diào)用呢？不要問我了，自己試一試就知道了。
后記
我們知道通過關(guān)閉瀏覽器能結(jié)束會話，但是這樣失去的只是
服務(wù)器給我們分配的會話標(biāo)識號。而在Session會話的生命周期結(jié)束之前，
服務(wù)器是不會將會話標(biāo)識號對應(yīng)的Session值從內(nèi)存中清除的。
小知識：一般IIS的Session的生命周期默認(rèn)是20分鐘。
利用這個原理，如果我們通過一定途經(jīng)獲得了其它瀏覽器登錄
服務(wù)器時建立的Session會話標(biāo)識號。那么我們就能用這個會話標(biāo)識號來得到被劫瀏覽器端同樣的權(quán)限。如果是一個管理員在登錄后臺，那么我們在另一臺電腦上用這個會話標(biāo)識號通過Session欺騙同樣能登錄后臺，從而就實(shí)現(xiàn)了異地的攻擊。具體方法歡迎到黑防論壇討論。
文章若有疏漏敬請兄弟指出，哪位兄弟若有更好的利用方法歡迎一起分享
