動易4.03上傳漏洞。2005-1-10 就出來了，一直沒有公布。
看黑客防線的攻關第3關用的是動易所有公布出來了。
影響版本: 動易4.03
<%@language=vbscript codepage=936 %>
<%
option explicit
response.buffer=true
Server.ScriptTimeOut=9999999
%>
<!--#include file="../conn.asp"-->
<!--#include file="../inc/function.asp"-->
<!--#include file="../inc/upfile_class.asp"-->
<%
const upload_type=0 '上傳方法：0=無懼無組件上傳類，1=FSO上傳 2=lyfupload，3=aspupload，4=chinaaspupload
dim ChannelID
dim AdminName
dim EnableUploadFile,MaxFileSize,UpFileType,SavePath,SavePath2
dim objUpload,oFile,FormName,strFileName,FileExt
dim ImgWidth,ImgHeight,AlignType
dim EnableUpload
dim arrUpFileType
dim ranNum,i,strJS,msg,dtNow '這些定義上傳變量
AdminName=trim(session("AdminName")) '判斷seesion值是否正確
UserName=trim(request.Cookies("asp163")("UserName")) '判斷cookie
msg=""
FoundErr=false
EnableUpload=false '上面這些定義了，如果seesion和cookie不合法，就出錯
dtNow=Now()
%>
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=gb2312">
<style type="text/css">
<!--
BODY{
BACKGROUND-COLOR: #E1F4EE;
font-size:9pt
}
-->
</style>
</head>
<body leftmargin="2" topmargin="0" marginwidth="0" marginheight="0">
<%
if AdminName="" and UserName="" then '如果admin和username為空就出錯，如果假的不為空的用戶名會怎么樣呢，但是上面的要注意
response.Write("請登錄后再使用本功能！")
else
select case upload_type
case 0
call upload_0() '使用化境無組件上傳類
case else
'response.write "本系統未開放插件功能"
'response.end
end select
end if
call CloseConn()
%>
</body>
</html>
<%
sub upload_0() '使用化境無組件上傳類
set objUpload=new upfile_class ''建立上傳對象
objUpload.GetData(104857600) '取得上傳數據,限制最大上傳100M
if objUpload.err > 0 then '如果出錯
select case objUpload.err
case 1
response.write "請先選擇你要上傳的文件！"
case 2
response.write "你上傳的文件總大小超出了最大限制（100M）"
end select
response.end
end if
'開始了對ChannelID的判斷
ChannelID=trim(objUpload.form("ChannelID"))
if ChannelID="" then '判斷了，如果為空就出錯
response.write "頻道參數丟失！"
exit sub '原來平時丟失的原因是因為ID不合要求
end if
ChannelID=Clng(ChannelID)
sqlChannel="select * from PE_Channel where ChannelID=" & ChannelID
set rsChannel=server.createObject("adodb.recordset")
rsChannel.open sqlChannel,conn,1,1
if rsChannel.bof and rsChannel.eof then
response.write "找不到此頻道"
FoundErr=True '變量出錯
end if
if rsChannel("Disabled")=True then
response.write "此頻道已經被禁用！"
FoundErr=True '上面進行對頻道出錯的判斷和處理
else
EnableUploadFile=rsChannel("EnableUploadFile")
MaxFileSize=rsChannel("MaxFileSize")
SavePath=strInstallDir & rsChannel("ChannelDir") & "/UploadSoftPic/" '保存的路徑
UpFileType=rsChannel("UpFileType") '成功上傳對大小，路徑，類型的處理
end if
rsChannel.close
set rsChannel=nothing
if EnableUploadFile=False then
response.write "本頻道未開放文件上傳功能"
FoundErr=True
end if
if FoundErr=True then exit sub
for each FormName in objUpload.file '列出所有上傳了的文件
EnableUpload=False
set ofile=objUpload.file(FormName) '生成一個文件對象
if ofile.filesize<100 then
msg="請先選擇你要上傳的文件！"
FoundErr=True
end if
if ofile.filesize>(MaxFileSize*1024) then
msg="文件大小超過了限制，最大只能上傳" & CStr(MaxFileSize) & "K的文件！"
FoundErr=true
end if
FileExt=lcase(ofile.FileExt) '判斷擴展名
arrUpFileType=split(UpFileType,"|")
for i=0 to ubound(arrUpFileType)
if FileExt=trim(arrUpFileType(i)) then
EnableUpload=true
exit for
end if
next
if FileExt="asp" or FileExt="asa" or FileExt="aspx" or FileExt="cer" or FileExt="cdx" then
EnableUpload=false '哈哈，關鍵在這里啦，上傳漏洞在這里啦
end if
if EnableUpload=false then
msg="這種文件類型不允許上傳！/n/n只允許上傳這幾種文件類型：" & UpFileType
FoundErr=true
end if
strJS="<SCRIPT language=javascript>" & vbcrlf
if FoundErr<>true then
if ObjInstalled_FSO=True then
SavePath2=year(dtNow) & right("0" & month(dtNow),2) & "/"
SavePath=SavePath & SavePath2
if not fso.FolderExists(server.mappath(SavePath)) then
fso.createFolder server.mappath(SavePath)
end if
end if
randomize
ranNum=int(900*rnd)+100
strFileName=year(dtNow) & right("0" & month(dtNow),2) & right("0" & day(dtNow),2) & right("0" & hour(dtNow),2) & right("0" & minute(dtNow),2) & right("0" & second(dtNow),2) & ranNum & "." & FileExt
ofile.SaveToFile Server.mappath(SavePath & strFileName) '保存文件
msg="圖片上傳成功！"
strJS=strJS & "parent.document.myform.SoftPicUrl.value='UploadSoftPic/" & SavePath2 & strFileName & "';" & vbcrlf
end if
strJS=strJS & "alert('" & msg & "');" & vbcrlf
strJS=strJS & "history.go(-1);" & vbcrlf
strJS=strJS & "</script>"
response.write strJS
set ofile=nothing
next
set objUpload=nothing
end sub
%>
上面的是動易的上傳代碼，從上面分析，我們可以看到，它明顯存在著上傳漏洞。重要的漏洞代
碼在于這一句
FileExt=lcase(ofile.FileExt) '判斷擴展名
arrUpFileType=split(UpFileType,"|")
for i=0 to ubound(arrUpFileType)
if FileExt=trim(arrUpFileType(i)) then
EnableUpload=true
exit for
end if
next
if FileExt="asp" or FileExt="asa" or FileExt="aspx" or FileExt="cer" or FileExt="cdx" then
EnableUpload=false
一個變量的出錯導致上傳漏洞的產生。原理都是利用加個空格，因為asp (后面有空格)是不等于asp的，而對
于windows對于碰到有空格的他會自動去掉空格，所以當我們上傳一個asp 文件就會變成一個asp
文件。
利用的方法，主要是在于對channelID的突破，其它的好辦，只要可以構造一下不為空的id就可以了。
encType=multipart/form-data><INPUT class=tx1 type=file size=30 name=FileName> <INPUT class=tx1 type=file size=30 name=FileName1> <INPUT style="BORDER-RIGHT: rgb(88,88,88) 1px double; BORDER-TOP: rgb(88,88,88) 1px double; FONT-WEIGHT: normal; FONT-SIZE: 9pt; BORDER-LEFT: rgb(88,88,88) 1px double; LINE-HEIGHT: normal; BORDER-BOTTOM: rgb(88,88,88) 1px double; FONT-STYLE: normal; FONT-VARIANT: normal" type=submit value=上傳 name=Submit>
<INPUT id=PhotoUrlID type=hidden value=0 name=PhotoUrlID>
