案例背景

作者透過封包擷取工具 WinSock Expert 分析資料流，發現目標站點 (塵緣雅境新聞系統 V0.45 ACCESS 版) 存在 SQL 注入點 (ReadNews1.asp?NewsID=173)，但管理員似已修補原版漏洞，卻無意中引入新注入點。注入取得資料庫管理員密碼，卻是 MD5 雜湊值，無法直接破解。

繞過思路：重放修改密碼封包

1. 觀察後台修改密碼功能：無需輸入舊密碼明文，預設密碼欄位即為舊密碼 MD5 值。提交新密碼時需驗證舊密碼 MD5。
2. 既然已透過注入取得 MD5 值 (24a2b13f36f9f99c)，即可構造合法修改密碼請求。
3. 關鍵：需符合 Cookie 驗證要求 (ASPSESSIONID、reglevel、fullname、purview=99999、KEY=super、UserName、Passwd=MD5值) 以及表單欄位 (username、passwd、passwd2、fullname、depid、oskey、shenhe、cmdok)。
4. 為避免修改封包大小，作者修改本機 hosts 將目標域名解析至本機 IIS 測試環境，調整本機後台帳號資料與遠端一致，擷取完美封包後再將 hosts 改回，用 nc 向真實伺服器重放封包。
5. 成功修改遠端管理員密碼為 abend，登入後台將上傳檔案類型新增 asp，即可上傳 ASP 木馬拿下網站。

啟示

許多程式修改密碼時僅驗證舊密碼 MD5，若資料庫被拖庫，攻擊者無需破解 MD5 即可透過重放攻擊接管後台。開發者應採用更強認證機制（如雙因子、隨機挑戰碼），管理員應定期輪換強密碼並監控異常登入。