[原创]试用榕哥新工具WIS和WED的一次注入实例

软件下载
http://www.netxeyes.com/wis.rar
http://www.netxeyes.com/wed.rar



正文：

网站http://gx**.***.gov.cn（由于漏洞较多，估计一时无法通知修补，此处的URL做*号屏蔽处理。）存在SQL INJECTION漏洞，不过别问我怎么知道的啊，哈哈。不过这个站的表还真....XX的多，之前我用ASC竟然扫出2000多个表出来，真是晕。刚好看到榕哥出了新工具，当然马上就下来使用一下啦。



具体使用说明请参阅本站的
http://www.eviloctal.com/forum/read.php?fid=24&tid=1852&page=lastpost#lastatc


下面开始（两个工具都是命令行下使用的）

wed.exe http://gx**.***.gov.cn/company/index.asp?id=189

这是我原来发现的存在漏洞页面，很快结果就出来了：
user is gx*****
pass is gx*****

呵呵又一个用户名和密码一样的。

  WED.EXE功能主要是猜解用户名和密码，没什么好说的。
主要注意的就是工具自带的用户表名和密码表名以及用户字段名不是很详细，不在里面的就猜不出来了，这个就需要大家自己完善了。


 





  WIS.EXE带有两个功能，都比较实用，分别是针对网站检查存在可以注入的页面否和检测后台登陆页面的地址。

wis.exe http://gx**.***.gov.cn/

等待一下，结果出来了：

injection page final result:

/syjh/search.asp?sortid=1
/spzs/search.asp?sortid=1
/spzs/exhibition.asp?gsid=621
/qyml/search.asp?sortid=28
/spzs/show_product.asp?id=510

找到了5个程序认为可以注入的页面。
（不过我逐一试了，结果都是不成功，在猜密码的时候失败，估计是程序自带的表名没有符合该网站的。）




上面一开始的时候我们获得了一个用户名和密码，下面我们找后台管理页面登陆一下试试。

wis.exe http://gx**.***.gov.cn/ /a（注意这里后面要加参数 /a）

漫长的等待   扫描ing.............算了还是手动吧

一般网站都有一个登陆的地方，你登陆后一般都可以看到登陆的地址了，有些网站是在你退出的时候浏览器下面的状态栏那里会出现一下。要眼明手快哦。
在首页处登陆成功，这时地址是http://gx**.***.gov.cn/manage/index.asp呵呵，看到了吧。还有一个是http://gx**.***.gov.cn/login/login.asp两个地址都是指向一样的页面。
看来WIS自带的路径还是太少啊。手动添加进去吧，打开admin文档，加入manage/index 和login/login 保存。

hehe,不过实际上网站管理后台的URL是http://gx**.***.gov.cn/admin/login.asp


因为是试用举例，所以也就没有深入去进管理后台，到这里就可以了。


试用结论：
不愧是榕哥出品，真的很好用的两个工具，可以想象又将掀起一轮ASP注入的浪潮。不足的地方就是工具自带的dict内容太少了，有一定的局限，需要大家自己补充咯。




  兼于是命令行界面下的程序，有时手工输入URL实在是烦，这里提供一个小TIPS.....................那就是...................编辑一个bat文件啦....哈哈~~




                                          2004-09-04